A pergunta apareceu numa reunião comum, dessas de acompanhamento mensal. Alguém precisava do acesso ao painel do provedor de e-mail para resolver um problema de entrega. O gerente respondeu que a senha estava na planilha compartilhada do financeiro, aba Acessos, e que se não estivesse lá era só pedir no grupo do WhatsApp da diretoria, porque alguém teria.
Ninguém achou aquilo estranho. É assim que funciona na maioria das empresas de médio porte que conhecemos. A planilha tem quarenta linhas, foi criada em 2019, é editável por doze pessoas, e pelo menos quatro delas já não trabalham na empresa. A senha do banco de dados de produção está na linha 27.
A tese deste texto é que esse é o problema de segurança mais comum, mais barato de resolver e mais ignorado nas empresas brasileiras. Não exige comprar tecnologia cara nem contratar especialista dedicado. Exige uma decisão de organização que a maioria adia porque nunca aconteceu nada, até o dia em que acontece.
O que é gestão de segredos?
Gestão de segredos é o conjunto de práticas que define onde ficam guardadas as credenciais da empresa, quem pode usar cada uma, como elas são trocadas e como se registra quem acessou o quê. Segredo aqui é qualquer coisa que dá acesso a algo importante: senha de sistema, chave de integração, certificado, token de serviço de pagamento, acesso ao servidor.
A diferença entre ter e não ter essa prática não está na força das senhas. Está em quatro perguntas que uma empresa organizada consegue responder em minutos e uma empresa desorganizada não consegue responder nunca: quantos segredos existem, quem tem acesso a cada um, quando cada um foi trocado pela última vez, e quem os usou no último mês.
Vale separar dois mundos que costumam ser tratados juntos e precisam de soluções diferentes. Há as senhas que pessoas usam para entrar em sistemas, e há as credenciais que sistemas usam para conversar entre si. As primeiras se resolvem com gerenciador de senhas e autenticação em duas etapas. As segundas, que são as mais perigosas, exigem um cofre e uma disciplina de como o software as consome.
Por que planilha e grupo de mensagens são o pior lugar possível?
Porque violam ao mesmo tempo os três princípios que fazem qualquer controle de acesso funcionar. Não há individualização: todo mundo que abre a planilha vê tudo, inclusive o que não precisa. Não há registro: é impossível saber quem consultou a senha do servidor na terça-feira. E não há revogação: tirar o acesso de uma pessoa exigiria trocar todas as senhas, o que ninguém faz.
O grupo de mensagens agrava tudo isso. A senha fica guardada indefinidamente no celular de cada participante, incluindo aparelhos pessoais que saem da empresa junto com quem os carrega, viram backup automático em serviços de nuvem pessoais e podem ser perdidos ou roubados. Uma credencial enviada por mensagem deve ser considerada permanentemente exposta.
Existe ainda uma terceira variante, silenciosa e frequente: a credencial escrita dentro do código do sistema, que acaba enviada para o repositório e passa a estar visível a todo mundo que já teve acesso ao projeto, inclusive fornecedores antigos. Esse é um dos achados mais comuns quando se examina o interior de um sistema, e um dos que mais assustam quando aparece no relatório.
O que acontece de fato quando alguém sai da empresa?
Este é o teste que revela o tamanho do problema, e você pode fazê-lo mentalmente agora. Pense na última pessoa técnica que deixou a empresa e responda: existe uma lista do que ela tinha acesso? Quantos desses acessos foram efetivamente removidos? Alguma senha compartilhada foi trocada depois da saída?
Na maioria dos casos, a resposta honesta é que se removeu o e-mail corporativo e o acesso ao sistema principal, e pronto. O acesso ao provedor de nuvem, à ferramenta de envio de mensagens, ao painel do domínio e ao repositório de código costumam permanecer, às vezes por anos, muitas vezes atrelados a um e-mail pessoal.
O risco raramente é o ex-funcionário mal-intencionado, que é uma minoria pequena. O risco maior é passivo: a conta pessoal daquela pessoa é invadida dois anos depois, por um motivo qualquer, e o invasor encontra ali acesso válido à sua infraestrutura. Do seu lado, ninguém percebe, porque aquele acesso nunca foi contabilizado como sendo da empresa.
Como funciona um cofre de segredos, sem jargão?
Um cofre é um sistema em que as credenciais ficam guardadas de forma cifrada e são entregues sob demanda, individualmente, a quem tem permissão, com registro de cada entrega. Na prática, muda três coisas em relação à planilha.
Primeiro, ninguém precisa mais ver a senha para usá-la. A aplicação pede a credencial ao cofre no momento em que vai usar, e a pessoa que a configurou nunca precisou conhecê-la. Isso elimina de uma vez a circulação de senhas por mensagem.
Segundo, o acesso é por pessoa e por sistema, nunca compartilhado. Cada um entra com a própria identidade, e desligar alguém é uma operação de um clique que revoga tudo de uma vez, sem trocar senha nenhuma.
Terceiro, existe histórico. Fica registrado quem pediu qual credencial e quando. Isso muda completamente a capacidade de investigar um incidente, e é justamente o que costuma faltar quando algo dá errado, como já discutimos ao tratar de segurança digital nas empresas.
Qual é o mínimo aceitável para uma empresa pequena?
Não é preciso virar banco para arrumar isso. Existe um patamar realista que uma empresa de vinte pessoas alcança em duas semanas, com custo mensal baixo:
- Um gerenciador de senhas corporativo para as pessoas. Com contas individuais e pastas por equipe. A planilha é apagada no mesmo dia, não arquivada.
- Autenticação em duas etapas obrigatória. Pelo menos em e-mail, provedor de nuvem, registro do domínio, banco e repositório de código. É a medida isolada de maior efeito e a de menor custo.
- Um cofre para as credenciais que os sistemas usam. Provedores de nuvem já oferecem um nativamente, com custo baixo. Nenhuma senha dentro do código, sem exceção.
- Inventário de acessos, mesmo que em documento simples. Que serviços existem, quem é o dono de cada conta e quem tem acesso. Uma revisão trimestral de trinta minutos resolve.
- Rotina de desligamento escrita. Uma lista de verificação executada no dia da saída, sempre, para qualquer pessoa. Sem lista, sempre esquece algo.
- Contas em nome da empresa, nunca pessoais. Domínio, nuvem, lojas de aplicativo e ferramentas críticas precisam estar em e-mail corporativo controlado pela empresa.
Nada nessa lista é caro. O obstáculo é sempre organizacional, não financeiro.
O que exigir do seu fornecedor de software sobre credenciais?
Se um terceiro desenvolve ou mantém o seu sistema, ele necessariamente manipula credenciais suas, e isso precisa estar combinado por escrito, não no boca a boca. Quatro cláusulas fazem a maior parte do trabalho.
A primeira: as contas de infraestrutura são da sua empresa, e o fornecedor recebe acesso como convidado. É a diferença entre trocar de parceiro num dia e negociar por três semanas para recuperar o que é seu, ponto que aprofundamos ao falar de contrato de desenvolvimento de software.
A segunda: acesso individual e nominal para cada profissional do fornecedor, jamais um usuário compartilhado da equipe. Sem isso, não existe rastro possível.
A terceira: obrigação de comunicar entradas e saídas de pessoas com acesso ao seu ambiente, em prazo definido. Você não precisa aprovar quem eles contratam, mas precisa saber quem tem a chave da sua casa.
A quarta: proibição explícita de armazenar credenciais suas em código, planilha ou mensagem, com previsão de rotação periódica. Se o fornecedor lida com dados pessoais, isso se conecta diretamente às obrigações que tratamos em LGPD no desenvolvimento de software.
Controle de acesso é o item mais barato da sua segurança
Empresas costumam começar a pensar em segurança pela ponta cara e visível, como um teste de invasão, e é um bom investimento no momento certo. Só que testar a fechadura da porta faz pouco sentido enquanto a chave reserva estiver numa planilha aberta com doze editores, quatro deles fora da empresa.
A ordem que funciona é a inversa. Primeiro organize onde ficam as chaves e quem as tem. Depois teste se a porta resiste. Quem faz nessa ordem gasta menos e dorme melhor, porque a maior parte dos incidentes reais em empresas pequenas e médias começa em credencial vazada, não em ataque sofisticado.
Na DevCore, ajudamos empresas a organizar acesso e guarda de credenciais dentro dos nossos serviços de segurança, com foco no que é possível implantar rápido sem travar a operação. Se a senha de produção da sua empresa está numa planilha agora, converse com o nosso time antes que isso vire uma história para contar.
Perguntas frequentes sobre gestão de senhas na empresa
Gerenciador de senhas é seguro? E se ele for invadido?
É incomparavelmente mais seguro que planilha ou mensagem. As credenciais ficam cifradas de forma que nem o fornecedor consegue lê-las, e mesmo um vazamento no provedor entrega apenas conteúdo embaralhado. Compare com o cenário atual: uma planilha em texto puro que qualquer pessoa com acesso à pasta abre e lê.
Com que frequência preciso trocar as senhas?
A recomendação atual não é troca periódica obrigatória, que só produz senhas fracas e previsíveis. Troque quando houver motivo: saída de pessoa com acesso, suspeita de exposição, fim de contrato com fornecedor ou credencial que passou por canal inseguro. Para chaves usadas entre sistemas, rotação automática periódica faz sentido porque não depende de ninguém decorar nada.
Minha empresa é pequena. Alguém realmente iria atacá-la?
A maior parte dos ataques não escolhe alvo: varre a internet procurando credencial exposta e sistema desatualizado. Empresa pequena não é menos visada, é menos preparada, o que na prática a torna alvo mais fácil. E o dano proporcional costuma ser maior, porque falta reserva para absorver dias de operação parada.