Introdução: Além do Silo Corporativo – Uma Mudança de Paradigma na Confiança Digital
Seu celular vibra. Você o pega em um bar e toca uma vez para provar que tem mais de 21 anos. O bartender vê apenas "Idade verificada: 21+" na tela. Seu endereço e sua data de nascimento permanecem privados. Vinte minutos depois, você está no balcão de uma locadora de carros fazendo a mesma coisa para provar que pode dirigir.
A mesma credencial. Dois usos diferentes. Nenhum papel.
Estamos mais próximos dessa realidade do que a maioria das equipes de segurança imagina. A identidade digital está se desvinculando dos bancos de dados centralizados que a dominaram por décadas. Em vez de cada empresa armazenar cópias de suas informações pessoais, o usuário pode carregar credenciais verificáveis em sua própria carteira digital. Proteger essas identidades digitais.
Os sistemas de identidade atuais criam problemas para todos. Os usuários precisam lidar com dezenas de senhas em contas pessoais e de trabalho. 44% admitem reutilizar as mesmas credenciais em todos os lugares, resultando em um aumento de 71% nos ataques baseados em credenciais em apenas um ano. Enquanto isso, cada violação de banco de dados vaza milhares ou milhões de registros de identidade para criminosos. O risco de acesso não autorizado a esses dados é constante.
A alternativa já está surgindo. Governos emitem carteiras de motorista digitais. Universidades testam diplomas em blockchain. A União Europeia (UE) exige carteiras de identidade digital para os cidadãos. As pessoas em breve controlarão suas próprias provas de identidade, compartilhando exatamente o que cada situação exige.
Os CISOs enfrentam uma escolha: preparar-se para identificadores descentralizados (DIDs) e credenciais verificáveis (VCs) agora, ou entrar em pânico mais tarde, quando a mudança acelerar. Este guia mostra como líderes de segurança com visão de futuro podem posicionar suas empresas para essa transição.
Um Guia para o Líder de Empresa: Entendendo o Novo Cenário da Identidade
O que é Identidade Descentralizada (DID)?
Atualmente, outra pessoa controla sua identidade digital. O RH emite seu crachá de funcionário. Os bancos criam seus números de conta. Mesmo quando você faz login em um site usando o Google, você está pegando emprestado o sistema de identidade deles.
A identidade auto-soberana (SSI) muda quem está no comando.
Com um DID, você é o proprietário do identificador que o representa. Ninguém precisa lhe dar permissão para criá-lo. Ninguém pode tirá-lo de você. A W3C os chama de "identificadores persistentes globalmente únicos que não exigem uma autoridade de registro centralizada."
Um DID se parece com um endereço da web: did:exemplo:123456789. A diferença é que você detém as chaves criptográficas que provam que você o controla. Você o cria e o gerencia por conta própria.
Compare isso com o funcionamento da identidade hoje:
É por isso que isso é importante para as equipes de segurança. Os invasores adoram bancos de dados centralizados porque uma única violação rende enormes recompensas. Com a identidade descentralizada, não há um "tesouro" central. Eles teriam que atacar carteiras individuais, uma de cada vez.
O que são Credenciais Verificáveis (VCs)?
Olhe para sua carteira física. Carteira de motorista, cartão de crédito, talvez um crachá de funcionário. Cada um prova algo diferente sobre você. Sua carteira de motorista mostra que o usuário pode dirigir legalmente. Seu cartão de crédito significa que um banco confia em você com dinheiro. Seu crachá permite que você entre no escritório.
As Credenciais Verificáveis funcionam da mesma forma, mas são digitais e muito mais seguras.
Uma VC pode representar qualquer coisa: seu diploma universitário, autorização de segurança, registro de vacinação, certificação profissional. O que as torna especiais é a prova integrada de que são reais. Cada credencial carrega uma assinatura digital de quem a emitiu. Qualquer pessoa pode verificar essa assinatura instantaneamente.
É aqui que a privacidade se torna interessante. Sua carteira de motorista física mostra tudo a todos: nome completo, endereço, data de nascimento, foto. Ao entregá-la a um bartender apenas para provar sua idade, ele também vê seu endereço residencial.
Uma versão digital poderia provar "Esta pessoa tem mais de 21 anos" sem revelar mais nada. Sem endereço. Sem a idade exata. Sem o nome completo. A criptografia de conhecimento zero torna isso possível.
O Triângulo da Confiança
Três participantes fazem as credenciais verificáveis funcionarem:
- Emissores: Criam as credenciais e as assinam digitalmente. Sua universidade emite uma credencial de diploma. O Detran emite uma credencial de carteira de motorista. Sua empresa emite uma credencial de crachá de funcionário. Cada emissor tem seu próprio DID e publica sua chave pública onde outros podem encontrá-la. As assinaturas criptográficas e o gerenciamento de certificados tornam-se cruciais para estabelecer a confiança na identidade do emissor.
- Portadores (você): Recebem as credenciais e as armazenam em carteiras digitais. Você pode ter credenciais de dezenas de fontes: escola, empregador, governo, banco. Você decide quando compartilhar cada uma. Isso inclui cenários em que os pais podem deter credenciais para os filhos, ou dispositivos de IoT podem deter credenciais de identidade de máquina sobre sensores. O portador faz parte desse ecossistema.
- Verificadores: Checam as credenciais quando você as apresenta. Um gerente de contratação verifica seu diploma. Um segurança verifica seu crachá de funcionário. Um analista de crédito verifica sua renda. Eles não precisam ligar diretamente para o emissor - a assinatura criptográfica lhes diz tudo o que precisam saber.
Essa configuração elimina muito do atrito atual. Os verificadores obtêm prova instantânea. Os emissores param de atender ligações de verificação o dia todo. Você mantém sua privacidade compartilhando apenas o que é necessário.
Como DIDs e VCs Transformam a Verificação de Identidade
Junte identificadores controlados pelo usuário com credenciais verificáveis e a verificação de identidade muda de algumas maneiras importantes.
- Você se torna o centro do seu próprio universo de identidade. Em vez de pedir a cada empresa para criar uma conta para você, você aparece com as credenciais já em mãos. Está procurando emprego? Apresente seu diploma diretamente ao RH. Chega de esperar enquanto eles ligam para sua escola.
- A privacidade melhora porque você pode ser seletivo sobre o que compartilha. Solicitando um empréstimo? Prove seu status de emprego e faixa salarial sem revelar seu salário exato ou há quanto tempo está no emprego atual.
- A verificação se torna mais rápida e confiável. Como as credenciais carregam sua própria prova de autenticidade, os verificadores podem checá-las imediatamente. Chega de espera de três dias para verificações de antecedentes.
- O futuro da autenticação pode ir além das senhas. Em vez de criar outro nome de usuário e senha, você pode apresentar sua credencial de funcionário para acessar os sistemas da empresa. A matemática prova quem você é. A autenticação sem senha usando credenciais verificáveis representa uma evolução significativa em relação a métodos como a autenticação multifator (MFA).
- A confiança se torna mais distribuída. As empresas podem aceitar credenciais de emissores com os quais nunca trabalharam, desde que as chaves públicas desses emissores apareçam em diretórios confiáveis. Isso abre possibilidades para aceitar muitos mais tipos de prova de identidade.
A Oportunidade para a Empresa: Por que os CISOs Devem Prestar Atenção à Descentralização
As equipes de segurança geralmente se concentram nos riscos quando uma nova tecnologia surge. Com a identidade descentralizada, as oportunidades podem superar os riscos.
Integração Mais Rápida e de Maior Qualidade
A integração de clientes hoje é uma bagunça de atrasos e trabalho manual. Novos clientes fazem upload de documentos e esperam enquanto sua equipe liga para verificá-los. Novos funcionários aparecem com diplomas de papel que o RH precisa autenticar por telefone. Parceiros de negócios enviam documentos de licenciamento que exigem fluxos de trabalho de verificação separados.
Credenciais verificáveis podem resolver tudo isso.
Em vez de coletar documentos e fazer a verificação por conta própria, você aceita credenciais que vêm pré-verificadas. Um banco pode aceitar uma identidade digital do governo e uma credencial de um órgão de crédito para abrir contas em minutos em vez de dias. Um empregador pode verificar o diploma e as certificações de um candidato durante a entrevista.
Os ganhos de eficiência se acumulam rapidamente. Uma integração mais rápida de clientes significa que menos pessoas abandonam o processo no meio do caminho. Quatro dos principais casos de uso para essa tecnologia são: integração de clientes, verificação de funcionários, integração de parceiros e controle de acesso. A verificação mais rápida de funcionários significa que os novos contratados começam a ser produtivos mais cedo. As verificações automatizadas de parceiros significam que sua equipe pode se concentrar em trabalhos de maior valor.
A precisão também melhora. Credenciais digitais são mais difíceis de falsificar do que documentos de papel e menos propensas a erros de digitação de dados. Quando alguém apresenta uma credencial verificável, você sabe que ela veio de quem diz que veio e não foi adulterada.
Risco e Responsabilidade Reduzidos
Aqui está a parte que deve chamar a atenção de todo CISO: você pode ser capaz de reduzir o problema de "pote de mel" que tira o sono das equipes de segurança.
A maioria das organizações acumula informações pessoais porque pensa que precisa possuir dados de identidade para autenticar usuários de forma eficaz. Cada dado que você armazena é um dado que você precisa proteger. Especialistas em identidade em empresas como a Segura® veem isso repetidamente - bancos de dados centralizados criam pontos únicos de falha que os invasores visam sistematicamente. Isso aumenta o risco de acesso não autorizado.
A identidade descentralizada permite que você verifique informações sem armazená-las permanentemente. Em vez de manter cópias de passaportes, carteiras de motorista e números de CPF, você verifica as credenciais quando os usuários as apresentam e armazena apenas o que é absolutamente necessário.
Se alguém invadir seus sistemas, há menos dados valiosos disponíveis para roubar. As informações de identidade mais sensíveis permanecem distribuídas em carteiras individuais em vez de concentradas em seus bancos de dados.
Além disso, deter menos dados pessoais diminui sua carga de conformidade sob regulamentações de privacidade. Você processa apenas o que precisa, geralmente temporariamente, e pode provar que está minimizando a coleta de dados.
Confiança Aprimorada e Vantagem Competitiva
Consumidores preocupados com a privacidade prestam atenção em como as empresas lidam com informações pessoais. Práticas de identidade centradas no usuário podem se tornar uma forma de se destacar dos concorrentes.
Quando os usuários controlam suas próprias credenciais, eles se sentem mais respeitados pelos serviços que usam. Sua organização envia um sinal: "Não precisamos estocar seus dados pessoais para atendê-lo bem."
As melhorias na experiência do usuário podem ser substanciais. Em vez de criar novas contas com senhas para cada interação, os usuários apresentam credenciais confiáveis de suas carteiras. Mais rápido e mais seguro ao mesmo tempo.
Pense nos check-ins de hotel. Em vez de preencher formulários de registro com detalhes pessoais, os hóspedes podem tocar seus telefones para compartilhar credenciais de viagem que preenchem automaticamente as informações necessárias enquanto provam a identidade. Mais rápido para os hóspedes, menos exposição de dados para os hotéis.
De Provedor de Identidade para Verificador de Identidade
A maioria das organizações hoje atua como provedores de identidade. Você emite identidades (contas de usuário) e gerencia todo o ciclo de vida delas ao longo do tempo. Isso envolve uma sobrecarga considerável: checar documentos de identidade durante o registro, proteger o armazenamento de credenciais, lidar com redefinições de senha e potencialmente conectar-se a outros sistemas.
A identidade descentralizada permite que você se mova para ser principalmente um verificador. Em vez de criar e gerenciar identidades, você consome informações de identidade de credenciais externas e padronizadas. Sistemas IAM modernos na computação em nuvem estão começando a adicionar recursos de identidade descentralizada para apoiar essa transição.
Um banco pode aceitar uma identidade digital do governo e uma credencial de uma agência de crédito em vez de fazer sua própria verificação de identidade e avaliação de crédito do zero. O banco valida essas credenciais e toma decisões de acesso em vez de coletar e armazenar todos os dados subjacentes.
Essa mudança pode reduzir custos e complexidade enquanto melhora a segurança. Seus sistemas IAM permitem evoluir para lidar com credenciais verificáveis recebidas junto com os métodos de autenticação existentes. Você mantém políticas sobre quais credenciais aceitar e quais emissores confiar, mas não se torna um especialista em verificação de identidade em todos os domínios.
A mudança se encaixa bem com as abordagens de segurança de confiança zero (zero trust). Em vez de confiar nos usuários com base em onde eles estão se conectando ou qual dispositivo estão usando, você verifica suas credenciais específicas para cada solicitação de acesso. O usuário é verificado a cada passo.
Um Roteiro Estratégico: Como Sua Empresa Pode se Preparar para o Futuro Descentralizado
Fase 1: Educação e Estratégia (Agora – 12 meses)
Comece colocando sua equipe a par. A identidade descentralizada envolve conceitos que levam tempo para entender. Sua equipe de segurança, equipe de TI, arquitetos de identidade, oficiais de conformidade e partes interessadas do negócio precisam entender o que está mudando e por quê.
Realize workshops internos ou contrate especialistas em segurança cibernética de empresas como a Segura® para explicar DIDs e VCs às suas equipes e ajudar a avaliar sua infraestrutura de identidade atual. Os conceitos se encaixam melhor quando você pode realmente testá-los.
Procure por lugares onde a identidade descentralizada poderia resolver problemas reais em sua organização. Concentre-se em áreas onde a verificação de identidade cria gargalos ou atrito:
- Integração de clientes que exige verificação de documentos extensa.
- Credenciamento de funcionários onde você precisa verificar diplomas, certificações ou autorizações.
- Integração de parceiros e fornecedores que envolve documentação de licença de negócios ou conformidade.
- Situações de controle de acesso onde as pessoas acabam criando inúmeras contas com senhas.
Classifique esses casos de uso pelo potencial impacto e quão viáveis eles parecem. Você quer problemas que as credenciais verificáveis poderiam resolver melhor do que sua abordagem atual.
Conecte-se com grupos de padrões da indústria e redes de colegas. Organizações como a W3C, Decentralized Identity Foundation e Trust Over IP Foundation estão moldando o desenvolvimento dessas tecnologias. Muitas indústrias estão formando coalizões em torno de frameworks de confiança de identidade. Envolver-se cedo ajuda você a influenciar os padrões e aprender com as experiências de outros.
Fase 2: Testes e Experimentação (12 – 24 meses)
Escolha um caso de uso de alto valor para um pequeno projeto piloto. Mantenha o escopo gerenciável, mas significativo. Talvez teste a aceitação de credenciais de vacinação para acesso ao escritório, ou tente a verificação de diploma digital para a contratação de um departamento.
Defina métricas de sucesso claras de antemão. Como você saberá se o piloto funcionou? Verificação mais rápida? Usuários mais felizes? Menos incidentes de segurança? Defina isso antes de começar.
Coloque a mão na massa com a tecnologia. Você precisará de maneiras de emitir ou aceitar credenciais, e os usuários precisarão de carteiras digitais. Isso pode significar fazer parceria com um fornecedor que oferece plataformas de VC, ou construir sistemas de protótipo com ferramentas de código aberto.
Preste muita atenção à experiência do usuário o tempo todo. É fácil para as pessoas configurarem e usarem carteiras digitais? Elas confiam no processo? A verificação de credenciais funciona sem problemas com seus aplicativos existentes? Continue coletando feedback.
Documente os desafios de integração à medida que surgem. Seu CRM pode precisar de atualizações para registrar quando credenciais verificadas são recebidas. Seus sistemas de controle de acesso podem precisar de mudanças para aceitar atributos emitidos externamente. Entender esses pontos de integração cedo ajuda com implementações maiores mais tarde.
Mantenha o risco do piloto baixo executando testes ao lado de processos existentes em vez de substituí-los completamente. O objetivo é aprender, não a implementação de produção imediata.
Fase 3: Integração e Escala (24+ meses)
Com a experiência de um piloto bem-sucedido, comece a planejar a integração mais ampla do suporte a credenciais verificáveis em sua configuração existente de gerenciamento de identidade e acesso.
Fornecedores modernos de computação em nuvem e IAM estão adicionando recursos de identidade descentralizada aos seus produtos. Fique de olho nos roteiros de seus fornecedores atuais e veja como suas ofertas podem simplificar a integração. Você pode precisar de novas peças, como registros de confiança que ajudem seus sistemas a descobrir em quais emissores de credenciais confiar.
Trabalhe com equipes de desenvolvimento de aplicativos para atualizar os fluxos voltados para o usuário. Aplicativos de clientes podem adicionar opções como "Entrar com ID Digital" ao lado dos métodos de login existentes. Aplicativos internos podem integrar a verificação de credenciais em sistemas de RH ou portais de parceiros.
Planeje uma adoção gradual. Nem todo mundo terá carteiras digitais e credenciais verificáveis de imediato. Certifique-se de que seus sistemas lidem tanto com métodos de autenticação novos quanto legados sem problemas.
Estabeleça frameworks de governança para a aceitação de credenciais. Quais tipos de credenciais você aceitará? Em quais emissores você confia? Sob quais condições? Como você lidará com a revogação de credenciais ou mudanças de emissor? Essas decisões de política se tornam mais importantes à medida que você escala além dos projetos piloto. Soluções de gerenciamento de direitos de infraestrutura em nuvem podem ajudar a gerenciar essas relações de confiança complexas em escala.
Considere participar ou ajudar a estabelecer frameworks de confiança da indústria. Empresas de serviços financeiros podem trabalhar juntas em credenciais de identidade aceitáveis para bancos. Organizações de saúde podem desenvolver padrões para a aceitação de credenciais médicas. Trabalhar com colegas reduz a carga de tomar decisões de confiança por conta própria.
Navegando nos Obstáculos: Desafios Chave para a Adoção Empresarial
O Problema do "Ovo e a Galinha"
A identidade descentralizada enfrenta um desafio clássico de adoção. Os usuários não usarão credenciais digitais se poucos serviços as aceitarem. Os serviços não investirão em aceitar credenciais se poucos usuários as tiverem. Os emissores não criarão credenciais sem demanda clara.
Isso cria uma adoção inicial fragmentada. Você pode construir suporte para credenciais verificáveis e inicialmente ver um uso limitado. Paciência e pensamento estratégico ajudam aqui.
Concentre-se em credenciais que partes significativas de sua base de usuários provavelmente terão em um futuro próximo. IDs digitais emitidas pelo governo estão se expandindo rapidamente. Carteiras de motorista móveis estão sendo lançadas em vários estados. Órgãos de certificação profissional estão começando a emitir credenciais baseadas em blockchain.
A colaboração da indústria pode ajudar a resolver os problemas do ovo e da galinha. Quando várias organizações em um setor se movem juntas para aceitar certos tipos de credenciais, a adoção acelera mais rápido do que com esforços isolados.
Espere um período de transição onde métodos de identidade tradicionais e descentralizados coexistem. Planeje seus sistemas para lidar com ambos de forma elegante.
Governança e Confiança
A descentralização não elimina a necessidade de decisões de confiança. Você ainda precisa determinar em quais emissores de credenciais confiar e sob quais condições.
Como você avalia se as credenciais de diploma digital de uma universidade são legítimas? O que acontece quando duas credenciais entram em conflito? Como você lida com chaves de emissores comprometidas ou mudanças de política?
Algumas indústrias estão desenvolvendo registros de confiança ou programas de acreditação para ajudar com essas decisões. Serviços financeiros podem manter listas de emissores de credenciais de identidade aceitáveis. Associações profissionais podem credenciar os sistemas de credenciamento de seus membros.
Planeje investir nos aspectos de governança da identidade descentralizada, seja através do desenvolvimento de políticas internas ou da participação em frameworks de confiança externos. Esse trabalho é essencial para o sucesso.
Interoperabilidade e Padrões
A promessa da identidade descentralizada depende de diferentes sistemas trabalhando juntos de forma contínua. As credenciais emitidas por um sistema devem ser verificáveis por qualquer outro sistema que siga os mesmos padrões.
Na prática, existem vários métodos DID, várias abordagens criptográficas para assinar credenciais e protocolos em evolução para apresentar credenciais aos verificadores. Sem atenção cuidadosa à conformidade com os padrões, corremos o risco de criar novos silos em vez de eliminar os antigos.
Escolha fornecedores e soluções que priorizem a conformidade com os padrões. Teste a interoperabilidade com diferentes aplicativos de carteira e formatos de credenciais. Participe de testes de interoperabilidade da indústria quando possível.
Projete seus sistemas para serem adaptáveis. Você pode precisar suportar múltiplos métodos DID ou formatos de credenciais à medida que o ecossistema se desenvolve e os padrões convergem.
Integração com Sistemas Legados
A maioria das organizações tem investimentos significativos em infraestrutura de gerenciamento de identidade e acesso existente. O Active Directory, LDAP, sistemas de single sign-on e banco de dados de RH não desaparecerão da noite para o dia.
A integração da verificação de credenciais verificáveis com sistemas legados requer um planejamento cuidadoso. Como os atributos de credenciais verificadas se mapeiam para perfis de usuário existentes? Como você vincula credenciais externas a contas internas? O que acontece durante o período de transição quando alguns usuários se autenticam com credenciais e outros com senhas?
Considere construir camadas de integração ou middleware que possam traduzir entre as asserções de credenciais verificáveis e seus sistemas existentes. Comece com a integração suplementar, onde credenciais externas aprimoram os perfis de usuário existentes, e então gradualmente avance para usar credenciais como fontes de identidade primárias.
Reserve tempo e recursos para esse trabalho de integração. É um passo que faz parte da mudança de paradigma.
Educação e Experiência do Usuário
Os usuários precisarão aprender novos conceitos e fluxos de trabalho. Gerenciar carteiras digitais, entender quando compartilhar credenciais e reconhecer solicitações de credenciais legítimas representam novas habilidades.
Os aplicativos de carteira digital devem ser intuitivos e confiáveis. Se a experiência do usuário for confusa ou parecer arriscada, a adoção será interrompida, independentemente dos benefícios técnicos subjacentes.
Planeje programas de educação do usuário junto com a implementação técnica. Forneça orientações claras sobre a seleção da carteira, gerenciamento de credenciais e melhores práticas para um acesso seguro. Garanta que sua equipe de suporte entenda os novos sistemas bem o suficiente para ajudar os usuários quando surgirem problemas.
Comece com usuários que provavelmente se sentirão à vontade com novas tecnologias. Expanda gradualmente à medida que os sistemas amadurecem e a confiança do usuário cresce.
Do Controle Centralizado à Confiança Descentralizada
A identidade digital está evoluindo do controle centralizado para a confiança descentralizada nos próximos anos. Isso representa tanto uma mudança tecnológica quanto uma mudança em como pensamos sobre a verificação de identidade.
A transição não acontecerá da noite para o dia, mas já está em andamento. Governos em todo o mundo estão emitindo credenciais de identidade digital. Grandes plataformas de tecnologia estão construindo recursos de carteira em dispositivos móveis e em seus produtos. Os padrões da indústria estão se solidificando através de organizações como a W3C e vários grupos específicos de setores.
CISOs e líderes de segurança empresarial têm a oportunidade de moldar essa transição em vez de simplesmente reagir a ela. As organizações que começarem a se preparar agora se encontrarão em uma posição melhor para aproveitar os benefícios da identidade descentralizada enquanto evitam a disrupção que vem com a falta de preparação para grandes mudanças tecnológicas.
