A empresas terao de manter inventarios das senhas ecredenciais de privilegio. E preciso abandonar o modelo velho de chavesbaseadas no teclado QWERTYParteconsideravel dos investimentos no combate a vulnerabilidade dos sistemasinformacionais escorre pelo ralo devido a falta de politicas de controle deidentidades e credenciais de privilegio que dao acesso a dados, aplicacoes eservicos em diferentes niveis estrategicos.Oproblema vai muito alem da alardeada proliferacao de senhas criadas pelousuario final, e que frequentemente permanecem ativas (pelo menos para algumasaplicacoes) mesmo depois do desligamento profissional do seu respectivocriador.Odescontrole mais grave envolve aquelas permissoes que dao status deadministrador ou autoridade hierarquica. Este tipo de credencial e gerado, emparte, para suprir necessidades do comando empresarial, afetando um pequenonumero de gestores, o que as torna mais faceis de gerenciar.Mas aexpressiva maioria das permissoes de privilegio e representada por chaves definalidade tecnica (frequentemente passageira), criadas para assegurar acessopontual a partes sensiveis do sistema. Egrande o numero de senhas produzidas nas corporacoes para viabilizar tarefascorriqueiras, como a configuracao de um periferico ou a ativacao de regras denegocio, e que sao usadas por anos a fio, quando deveriam ter sido eliminadas esubstituidas imediatamente apos a utilizacao a que se destinavam.Haainda uma infinidade de credenciais de privilegio embutidas em aplicacoes queviabilizam sua interelacao com outras entidades da rede ou do ambiente desoftware. Taissenhas de aplicacao sao fixadas no instante da integracao do sistema e muitasvezes esquecidas ou ate ignoradas pelas equipes responsaveis. O altorisco de tudo isto se da pelo fato de que a posse de uma unica destas chavespor um agente interno ou externo mal intencionado pode criar as condicoes parase alterar ou vasculhar toda a extensao do ambiente operacional, inclusivepropiciando a captura do acervo de senhas disponiveis independentemente de seunivel.Umestudo da CiberArk concluiu que entre empresas norte-americanas que dispoem deCIO e profissionais dedicados a seguranca, nada menos que 86% se consideramvulneraveis a ataques praticados para a obtencao dessas credenciais deprivilegio. Asituacao, com certeza, e bem pior no Brasil, onde apenas 50% dos orgaos degoverno e das empresas estatais dispoem de um profissional de segurancadigital, segundo dados contidos no Mapa Estrategico da Defesa Ciberneticapublicado pelo Ministerio da Defesa. Entreos fatores mais criticos, descritos em estudos sobre o tema, esta justamente aincapacidade das empresas em criar inventarios fidedignos de suas senhas eidentidade de acesso, o que impede o estabelecimento de qualquer controle sobreseu ciclo de vida ou sobre o nivel atual de legitimidade de seus portadores.Em umdocumento publicado no site da Lieberman Software com o sugestivo titulo Como manter a NSA fora doalcance dos seus sistemasa multinacional se reporta a seis recomendacoesde seguranca criadas pela propria NSA (Agencia Nacional de Seguranca dos EUA)para as empresas do governo norte-americano e que bem poderiam ser seguidaspelas corporacoes brasileiras.Aprimeira e a de nao permitir o acionamento remoto de qualquer tipo de acao quedependa de credencial de privilegio, medida que cumpre o ideal de restringir avulnerabilidade apenas ao agente interno sobre o qual o controle deve seampliar substancialmente.Essecontrole ampliado e expresso em todas as demais recomendacoes, como a de criarrestricoes de validade das credenciais, apenas para sistemas especificos, semque um agente isolado possa navegar ao longo de