A maioria das empresas não se apercebe de que tem um problema de palavra-passe até que um problema as force a reconhecê-lo, como uma palavra-passe de administrador guardada numa folha de cálculo ou credenciais de início de sessão que permanecem ativas para membros da equipa que deixaram a sua empresa há anos.

Esta é uma ocorrência comum. No Reino Unido, o Cyber Security Breaches Survey 2024(nova janela) do governo descobriu que 50% das empresas identificaram um incidente ou ataque de cibersegurança nos 12 meses anteriores, subindo para 70% das médias empresas e 74% das grandes empresas.

Nesta situação, uma auditoria de palavras-passe é uma das ações mais valiosas que a sua empresa pode tomar para se manter segura. É uma forma prática de detetar riscos de credenciais que tendem a acumular-se silenciosamente em segundo plano através de palavras-passe fracas, acesso não autorizado, contas inativas e inícios de sessão armazenados fora dos sistemas aprovados.

Particularmente para as pequenas e médias organizações, este tipo de análise pode ajudar a fazer melhorias de segurança significativas sem gastar dinheiro ou realizar um programa de transformação complexo.

Este artigo explica como realizar uma auditoria de palavras-passe para a sua empresa, o que procurar e como transformar o processo de uma limpeza pontual numa prática de segurança mais consistente.

O que é uma auditoria de palavras-passe?

Uma auditoria de palavras-passe é uma análise sistemática das palavras-passe, contas e permissões de acesso utilizadas numa empresa. O seu objetivo é identificar riscos relacionados com credenciais, tais como palavras-passe fracas, palavras-passe reutilizadas, inícios de sessão desatualizados, contas inativas, acesso excessivo e credenciais armazenadas fora dos sistemas aprovados.

Na prática, uma auditoria de palavras-passe vai além de verificar se uma palavra-passe é suficientemente forte. Também analisa:

  • Como as palavras-passe são geridas na sua organização
  • Quem tem acesso ao quê e se esse acesso ainda é necessário
  • Como as palavras-passe são armazenadas e partilhadas
  • Se a sua empresa tem visibilidade suficiente para detetar riscos antes que se tornem um problema de segurança

Este âmbito alargado é o que torna uma auditoria de palavras-passe útil. Na maioria das organizações, o risco de credenciais não é criado por uma única palavra-passe fraca. Constrói-se gradualmente através de pequenas falhas na supervisão, controlos de acesso inconsistentes, maus hábitos de armazenamento e contas que permanecem ativas muito tempo depois de deverem ter sido revistas ou removidas.

Uma auditoria de palavras-passe eficaz ajuda a expor esses problemas. Dá às empresas uma compreensão mais clara da higiene atual das suas palavras-passe e cria uma base prática para melhorar o controlo de acesso, reforçar a gestão de credenciais e reduzir a exposição evitável ao longo do tempo. Este tipo de análise é muito mais fácil de realizar quando utiliza um gestor de palavras-passe empresarial com ferramentas de administrador que suportam visibilidade, análise de acesso e aplicação de políticas.

Como realizar uma auditoria de segurança de palavras-passe: uma estrutura prática de cinco passos

Uma auditoria de palavras-passe útil não precisa de começar com um mapa perfeito de cada conta, ferramenta e caminho de acesso na empresa. Precisa apenas de uma estrutura clara e de um sistema controlado para gerir credenciais. Sem estas duas coisas, o processo pode rapidamente tornar-se demasiado amplo e demasiado fácil de adiar.

A forma de quebrar o ciclo de evitar auditorias de palavras-passe é centralizar a gestão de palavras-passe, definir a propriedade e rever o acesso através de um fluxo de trabalho aprovado.

Eis um guia detalhado para realizar a sua própria auditoria de palavras-passe:

Passo 1: Criar um inventário completo de credenciais

Comece por criar um inventário de trabalho dos sistemas de que a sua empresa depende. Isso inclui as plataformas principais óbvias, tais como:

  • E-mail
  • Ferramentas financeiras
  • Armazenamento na nuvem
  • Software de colaboração
  • Sistemas CRM
  • Consolas de administração
  • Qualquer ambiente que contenha dados da empresa ou de clientes

Também deve incluir ferramentas e serviços menos óbvios a funcionar na sua rede:

  • Contas de redes sociais partilhadas
  • Subscrições SaaS inativas
  • Ferramentas de prestadores de serviços
  • Ambientes de teste
  • Serviços adotados por equipas individuais sem supervisão central

Catalogar todas as ferramentas é importante porque a maior parte do risco de credenciais começa com uma visibilidade incompleta. Se não souber quais as ferramentas que estão a ser utilizadas, não poderá rever como o acesso está a ser gerido nelas.

As empresas que já utilizam um gestor de palavras-passe empresarial como o Proton Pass for Business começam a sua auditoria de palavras-passe com uma vantagem prática, porque as credenciais residem em cofres encriptados.

Passo 2: Mapear o acesso em relação às necessidades da empresa

Assim que tiver uma visão mais clara dos seus sistemas, o próximo passo consiste em analisar o acesso. É necessário rever se as pessoas certas ainda têm o nível certo de acesso às ferramentas certas.

Comece por analisar cada sistema principal e pergunte quem tem acesso atualmente, se isso reflete as suas responsabilidades atuais e se algumas contas têm permissões mais amplas do que o necessário.

Em muitas empresas, o acesso expande-se gradualmente ao longo do tempo. Podem ser concedidos direitos de administrador amplos por conveniência e nunca mais ser removidos, por exemplo. Os prestadores de serviços podem manter o acesso após a conclusão de um projeto, ou os membros da equipa podem mudar de funções e manter as permissões das anteriores.

Este tipo de desvio aumenta o risco mesmo quando a palavra-passe em si é forte. O guia do NCSC(nova janela) sobre controlo de acesso recomenda a atribuição de contas apenas a indivíduos autorizados e a concessão aos utilizadores do acesso e das permissões mínimos de que necessitam, uma vez que qualquer pessoa se pode tornar uma vulnerabilidade. Uma auditoria de palavras-passe deve, por isso, analisar o motivo por trás de cada nível de acesso.

Passo 3: Fazer uma verificação da integridade das palavras-passe

Esta fase da auditoria de palavras-passe destina-se a identificar quaisquer palavras-passe reutilizadas ou fracas, a autenticação de dois fatores (2FA) inativa, inícios de sessão desatualizados e hábitos de armazenamento inseguros que tornem o comprometimento mais provável.

Neste ponto, a análise deve focar-se em algumas perguntas práticas:

  • As palavras-passe são exclusivas de cada conta?
  • Existem palavras-passe fracas ou fáceis de adivinhar?
  • As credenciais antigas continuam a ser utilizadas e sem controlo?,
  • Os colaboradores estão a anotar as suas palavras-passe no armazenamento do navegador ou em aplicações de notas em vez de sistemas aprovados pela empresa?
  • A 2FA está ativada em todos os locais onde é possível?

O Proton Pass for Business ajuda-o com o Pass Monitor, que inclui:

  • Ferramentas de verificação da integridade das palavras-passe para detetar automaticamente palavras-passe repetidas ou fracas e 2FA inativa
  • Monitorização da Dark Web para o alertar caso as suas credenciais estejam envolvidas em incidentes
  • O Proton Sentinel para detetar e bloquear atividades suspeitas de início de sessão que possam levar ao roubo de conta

Passo 4: Rever contas inativas

Uma das formas mais rápidas de reduzir o risco associado a credenciais é simplesmente remover o que já não precisa de existir. A maioria das empresas acumula contas inativas ao longo do tempo. Por exemplo:

  • Antigos colaboradores que ainda têm acesso às ferramentas da sua empresa
  • Antigas plataformas SaaS que continuam associadas a credenciais válidas da empresa muito depois de a sua utilização ter diminuído
  • Contas partilhadas concebidas para uma utilização a curto prazo que acabam por permanecer ativas durante meses ou anos porque ninguém sabe quem é o seu proprietário

Estas contas atraem menos atenção do que as ativas, o que faz com que sejam especialmente fáceis de ignorar. Esta revisão também está estreitamente alinhada com uma disciplina de conformidade mais ampla.

Uma revisão eficaz das palavras-passe empresariais tem de incluir um esforço deliberado para:

  • Remover acessos inativos
  • Fechar contas obsoletas
  • Confirmar a propriedade clara dos sistemas que restam

O Proton Pass for Business ajuda a reduzir a fricção que muitas vezes mantém estas contas ativas, tornando a propriedade mais clara, o acesso mais fácil de rever e as alterações de credenciais mais fáceis de gerir quando as pessoas saem ou os cargos mudam.

Passo 5: Corrigir e padronizar

O passo final consiste em passar à ação com base no que descobriu. Uma auditoria de palavras-passe só melhora a segurança da sua organização se os problemas detetados forem resolvidos de forma estruturada.

Depois de identificar as lacunas, pode criar um plano que seja sistemático em vez de reativo. Eis uma lista de verificação simples para auditoria de palavras-passe:

  • Alterar imediatamente credenciais fracas ou expostas.
  • Substituir palavras-passe reutilizadas por palavras-passe únicas.
  • Ativar o 2FA em todo o lado, a começar pelas contas críticas.
  • Remover contas inativas ou desnecessárias.
  • Revogar privilégios excessivos.
  • Retirar as credenciais de folhas de cálculo, documentos ou do armazenamento do navegador.
  • Consolidar o armazenamento de palavras-passe num sistema empresarial aprovado.
  • Atualizar as suas políticas de acesso e de palavras-passe.

Este é também o momento certo para alinhar as ações técnicas com a política. Se a sua política de palavras-passe atual for vaga, não for aplicada ou for irrealista, a sua auditoria irá simplesmente trazer à tona os mesmos problemas passados seis meses.

As auditorias de palavras-passe e as políticas de palavras-passe funcionam muito bem em conjunto: o guia da Proton para criar uma política de palavras-passe é um excelente recurso complementar. E pode começar facilmente com o nosso modelo de política de palavras-passe.

A correção precisa de priorizar o risco, e não a organização visual. Comece pelas contas de administrador, sistemas que contenham dados confidenciais, serviços expostos externamente e credenciais partilhadas com uma propriedade pouco clara. Depois, continue para o exterior.

Porque é que as empresas ignoram as auditorias de palavras-passe?

Se as auditorias de palavras-passe são tão úteis, porque é que tantas empresas não se dão ao trabalho de as realizar? O processo pode parecer mais difícil de iniciar do que é na realidade.

Em muitas organizações, as credenciais são armazenadas em demasiadas localizações para serem revistas facilmente. Alguns colaboradores guardam as palavras-passe nos navegadores. Outros guardam-nas em folhas de cálculo, documentos partilhados, aplicações de notas ou mensagens internas.

Equipas diferentes podem utilizar as suas próprias ferramentas, comprar software de forma independente ou gerir o acesso de forma informal. Como resultado, a empresa pode perder o rasto de quais os sistemas que estão a ser utilizados e de quem tem acesso aos mesmos, dificultando a identificação e a resolução de riscos de segurança.

A ausência de um sistema centralizado torna isto ainda mais difícil. Sem uma localização única para gerir as credenciais da empresa, até uma auditoria básica de segurança de palavras-passe se pode transformar num exercício manual baseado em suposições, capturas de ecrã e na memória individual. Muitas PME adiam a revisão das suas práticas de palavras-passe por assumirem que tal exigirá um projeto de segurança em grande escala. Na realidade, o primeiro passo é simplesmente criar uma estrutura em torno do que já existe.

As auditorias de palavras-passe também são frequentemente descuradas porque o risco associado às credenciais tende a acumular-se silenciosamente. Ao contrário de uma interrupção de software ou de um incidente de phishing, uma higiene de palavras-passe deficiente nem sempre é óbvia. Palavras-passe fracas, acessos desnecessários, contas inativas e práticas informais de partilha podem manter-se durante meses sem atrair atenção. Quando são detetados, já estão frequentemente profundamente incorporados nas operações diárias.

Uma auditoria de palavras-passe traz este risco oculto à superfície. Reúne provas e dá a uma organização a visibilidade e a propriedade de que necessita para reforçar o controlo de acessos, melhorar as práticas de armazenamento e tomar decisões de segurança mais consistentes.

Transforme a sua auditoria de palavras-passe num controlo contínuo

Uma auditoria de palavras-passe torna-se muito mais valiosa quando faz parte de uma prática contínua, em vez de ser uma revisão única. O risco associado às credenciais continua a aumentar se não for resolvido. O acesso muda à medida que as pessoas entram, saem, mudam de cargo, adotam novas ferramentas ou trabalham com parceiros externos por períodos limitados. Se uma revisão ocorrer apenas uma vez, as conclusões começam a ficar desatualizadas quase imediatamente.

A gestão centralizada de palavras-passe é o seu melhor investimento. Dá às equipas de TI mais do que um local seguro para armazenar credenciais. Cria a visibilidade e o controlo necessários para rever o acesso de forma mais consistente, aplicar normas mais rigorosas e responder mais rapidamente quando algo requer atenção.

Escolher um gestor de palavras-passe para equipas de TI apoia este modelo operacional através de painéis de controlo de administrador eficazes, administração centralizada, políticas de equipa, acesso baseado em cargos, aprovisionamento SCIM, SSO e registos de auditoria, tornando a gestão de palavras-passe num controlo operacional e de conformidade mais forte.