As identidades mais arriscadas não são pessoas: guia para parceiros sobre governança de identidades não humanas

Os métodos antigos não funcionam mais

Durante a maior parte da última década, segurança de identidade significava responder a uma pergunta bem restrita: a pessoa do outro lado deste login é quem diz ser? Essa pergunta está ficando mais difícil de responder, e não porque os atacantes sejam mais espertos. Eles agora têm uma ferramenta que faz a parte difícil por eles. Essa mudança também abre uma das linhas de receita mais duradouras que um parceiro pode construir hoje.

E, cada vez mais, a identidade do outro lado não é uma pessoa. Contas de serviço, chaves de API e agora agentes de IA atuam com permissões reais, muitas vezes sem um responsável claro.

O risco menos óbvio: identidades que não são pessoas

O relatório de segurança SaaS da Kaseya, baseado em 27,6 bilhões de eventos de segurança em mais de 50 mil ambientes de PMEs, constatou que 69% das contas monitoradas eram de usuários convidados, que 56% não tinham autenticação multifator ativa e que um em cada cinco alertas críticos envolvia entidades de serviço não humanas em vez de pessoas.

Na maioria das conversas com clientes, o “risco da IA” se resume a deepfakes e phishing, mas a exposição mais silenciosa é a explosão de identidades de máquina que a maioria dos ambientes nunca foi projetada para governar em escala. Um estudo da Forrester encomendado pela Microsoft estimou a oportunidade para parceiros de segurança em US$ 54,35 por usuário por mês em receita esperada, com crescimento de 20% ao ano. Ele apontou a identidade como uma das categorias que mais crescem à medida que os clientes se preparam para riscos impulsionados pela IA.

Governança de identidades de máquina é uma conversa de serviços

Os parceiros não devem encarar isso como uma chance de vender aos clientes mais uma ferramenta de detecção. Ferramentas de detecção compradas isoladamente tendem a resolver o ataque do trimestre passado, porque a técnica evolui mais rápido do que qualquer modelo consegue ser retreinado. A conversa melhor é sobre a própria infraestrutura de identidade: o cliente tem uma forma independente de confirmar uma solicitação de alto risco, e o ambiente de identidade dele é governado ou apenas monitorado depois do fato?

Para identidades de máquina, a governança começa por saber quem é o responsável por cada conta de serviço e chave de API, a que ela tem acesso e quando foi rotacionada pela última vez. Isso é trabalho de serviços, do tipo recorrente e consultivo que vem sustentando as margens dos parceiros enquanto a receita de revenda se desgasta em outras áreas. Os dados do State of the MSP 2026 da Kaseya confirmam isso: 71% dos MSPs relataram crescimento anual de receita em cibersegurança, e 52% agora colocam a segurança entre suas principais fontes de receita, à frente de quase tudo, exceto o gerenciamento básico de endpoints e redes.

Como iniciar uma conversa sobre segurança de identidade com os clientes: 6 perguntas

Você não precisa de um discurso de produto para abrir essa conversa. Estas perguntas mostram onde os clientes estão expostos:

1. Onde a IA está sendo usada hoje na sua organização, incluindo ferramentas que ninguém implantou de propósito?
2. Quantas contas de serviço, chaves de API e credenciais de agentes de IA vocês têm, quem é responsável por cada uma e quando cada uma foi rotacionada pela última vez?
3. Quando o acesso dessas identidades foi revisado ou certificado pela última vez, e quem o aprovou?
4. A que cada agente de IA tem acesso (caixas de e-mail, arquivos, dados sensíveis), e quem aprovou esse acesso?
5. Quando um funcionário ou prestador de serviços sai, o que acontece com as integrações e os tokens que ele criou?
6. Se um agente começasse a se comportar de forma inesperada, como vocês descobririam?

Por que a Netwrix

Na Netwrix, a segurança de dados começa pela identidade. Não é possível proteger os dados sem governar as identidades que podem acessá-los, porque a maioria dos caminhos de violação graves passa por uma identidade comprometida ou usada de forma abusiva antes de chegar aos próprios dados. Por isso, governança de identidades, acesso privilegiado, detecção de ameaças e segurança de dados funcionam juntos aqui, e não como produtos pontuais separados. Isso também diferencia a Netwrix de fornecedores em que a identidade é apenas um recurso disputando atenção em uma suíte gigantesca. Uma visão conectada de identidade e dados vale mais do que um checklist quando os clientes perguntam sobre técnicas de ataque, e os ataques acelerados por IA tornam essas perguntas cada vez mais comuns.

Vale a pena construir em torno da economia do negócio

A economia do negócio se resume à amplitude da oportunidade e à natureza recorrente do trabalho. O trabalho contra ameaças a identidades escala de uma implantação focada em uma PME a um projeto corporativo de vários anos, o que significa que um parceiro pode construir uma prática em torno disso, independentemente do segmento em que seja mais forte. E, como os produtos de identidade da Netwrix foram criados para consolidar ferramentas sobrepostas em vez de adicionar mais um console, o cliente que lida com várias soluções recebe uma proposta mais simples: potencialmente menos contratos, menos integrações para manter e uma única equipe trabalhando com um único conjunto de alertas.

Considerações finais

Os atacantes agora têm um multiplicador de força, e as brechas de identidade que eles exploram, em sua maioria, já existiam: contas de serviço sem governança, ferramentas fragmentadas e uma verificação que confia em um rosto ou em uma voz sem um segundo canal. Para os parceiros que constroem ou ampliam uma prática de segurança este ano, essa é a oportunidade. Os clientes sairão ganhando quando seu parceiro os ajudar a governar a identidade como a porta de entrada, porque cada vez mais ela é. E os parceiros que defenderem bem esse argumento construirão uma carteira de negócios mais duradoura.