O que é identidade digital?

Identidade digital refere-se ao conjunto de dados que representam uma entidade no ambiente on-line. A identidade digital pode representar usuários, organizações ou dispositivos eletrônicos e consiste em suas contas, credenciais, certificados, comportamentos e padrões de uso. No Gerenciamento de identidade e acesso (IAM, Identity Access Management), a identidade digital é necessária para autenticar um usuário e autorizar suas permissões para o acesso a dados confidenciais.

O termo identidade digital é frequentemente utilizado de forma intercambiável com IDs físicas, IDs digitais, usuários, contas e pegada digital — os dados on-line rastreáveis de um usuário. No entanto, a identidade digital engloba todos esses diferentes elementos de identificação. As identidades digitais geralmente representam um usuário que tenta obter acesso aos sistemas de uma organização. Para obter o acesso, a identidade digital de um usuário utiliza as contas, a pegada digital, e as IDs digitais e físicas associadas ao usuário.

Continue lendo para saber mais sobre a identidade digital, compreender os atributos que a compõem e conhecer quais os tipos de identidade digital. Além disso, você vai entender por que a identidade digital é importante, como os cibercriminosos a roubam e o que fazer para protegê-la.

Quais atributos compõem a identidade digital?

A identidade digital é composta por todos os dados on-line que podem representar uma entidade. Os tipos de dados digitais são conhecidos como atributos ou identificadores que definem a titularidade da identidade digital. Esses atributos podem ser baseados no que é próprio da entidade, no que foi atribuído a ela e no que ela acumulou on-line.

Alguns exemplos de atributos que compõem a identidade digital incluem:

• Informações pessoais (data de nascimento, número do CPF)
• Nome de usuário e senha
• Endereços de e-mail
• Atividade de navegação
• Transações on-line
• Endereços IP
• Dados biométricos
• Informações da conta bancária
• Localização
• Tokens de segurança
• Certificados digitais

Tipos de identidades digitais

As identidades digitais podem representar digitalmente um usuário, uma organização ou um dispositivo eletrônico. Normalmente, as identidades digitais se enquadram em três categorias:

Identidade digital humana

A identidade digital humana permite que usuários humanos acessem e tenham privilégios na rede e nos recursos de uma organização. Essas identidades podem ser atribuídas a funcionários, clientes, parceiros e fornecedores.

Identidade digital de máquina

A identidade digital de máquina autentifica entidades não humanas, como aplicativos, servidores, software e outros dispositivos de Internet das coisas (IoT) na rede ou no sistema de uma organização.

Identidade digital em nuvem

A identidade digital em nuvem fornece acesso a recursos e serviços baseados em nuvem. Esse tipo de identidade digital pode ser utilizado por humanos ou máquinas para acessar sistemas baseados em nuvem para governos, instituições financeiras, funcionários e clientes.

Por que a identidade digital é importante?

A identidade digital desempenha um papel importante no IAM. Com uma identidade digital, entidades como usuários e máquinas podem acessar com segurança a rede, os sistemas e os dados confidenciais de uma organização. Uma organização utiliza a identidade digital de uma entidade para autenticar sua identidade e garantir que ela tenha acesso autorizado ao sistema da organização.

Com base na identidade digital, a organização determina qual autorização ela tem para os recursos específicos da organização. Uma identidade digital permite que entidades acessem contas existentes, criem novas contas e impede que usuários não autorizados acessem os recursos de uma organização.

Como os cibercriminosos roubam identidades digitais

Os cibercriminosos lançam ataques baseados em identidade para roubar identidades digitais de indivíduos e organizações. Os ataques baseados em identidade tentam roubar, alterar e utilizar indevidamente as informações relacionadas à identidade de uma entidade, como credenciais de login, nomes de domínio, informações de identificação pessoal (PII) e certificados digitais. Os cibercriminosos exploram as vulnerabilidades da estrutura do IAM de uma organização para roubar identidades digitais e obter acesso não autorizado à sua rede. Aqui estão os ataques comuns baseados em identidade que cibercriminosos utilizam para roubar identidades digitais.

Phishing

Phishing é um tipo de ataque de engenharia social no qual os cibercriminosos, fazendo-se passar por alguém familiar, como um colega de trabalho ou por uma empresa legítima, induzem os usuários a revelarem suas informações pessoais. Os cibercriminosos enviam mensagens às vítimas com a intenção de fazer com que elas cliquem em um anexo ou link malicioso. Se a vítima clicar no link malicioso, ela é enviada para um site falsificado que instala um malware no dispositivo ou a engana para fornecer suas informações pessoais, como suas credenciais de login.

Ataques indiretos

Ataques indiretos (MITM, Man-in-the-Middle) são um tipo de ataque cibernético no qual cibercriminosos interceptam os dados trocados entre duas partes. Para visualizar o tráfego da web de usuários conectados, o cibercriminoso depende de redes não criptografadas, como redes Wi-Fi públicas ou fictícias. Eles agem como intermediários entre as duas partes para espionar, roubar ou alterar quaisquer dados transmitidos pela rede não criptografada, como credenciais de login ou endereços IP.

Ataques relacionados a senhas

Os ataques relacionados a senhas dependem de práticas inadequadas de senhas, como a reutilização de senhas ou a utilização de senhas fracas. Os cibercriminosos tentam obter acesso não autorizado a uma conta ou sistema adivinhando senhas fracas, ou roubando credenciais de login. Alguns ataques relacionados a senhas incluem:

• Força bruta: um tipo de ataque cibernético no qual os cibercriminosos utilizam tentativa e erro para adivinhar credenciais de login até obter uma correspondência. Os cibercriminosos utilizam programas automatizados que adivinham palavras do dicionário comumente usadas ou combinações de letras e números.
• Preenchimento de credenciais: um tipo de ataque cibernético que utiliza um conjunto de credenciais de login verificadas roubadas de uma violação de dados ou na dark web e as utiliza para obter acesso a várias contas que reutilizam as mesmas credenciais de login.
• Pulverização de senhas: um tipo de ataque cibernético no qual os cibercriminosos utilizam uma única senha comumente usada e tentam combiná-la com uma lista de nomes de usuário até obter uma correspondência. Após a senha passar pela lista, o cibercriminoso repete o processo com uma senha diferente comumente usada.

Ataques pass-the-hash

Um ataque pass-the-hash é um tipo de ataque cibernético que rouba uma senha criptografada para contornar o protocolo de autenticação de um sistema e obter acesso não autorizado a uma rede. Uma senha criptografada é uma senha embaralhada que foi codificada em um formato ilegível que não pode ser decodificado para revelar a senha de texto simples. Quando um cibercriminoso utiliza uma senha criptografada para obter acesso à rede de uma organização, ele tenta obter um acesso mais privilegiado e se mover lateralmente na rede.

Como proteger as identidades digitais

Para evitar que os cibercriminosos roubem identidades digitais e obtenham acesso não autorizado à rede de uma organização, sua organização precisa fazer o seguinte.

Use um gerenciador de senhas comercial

Um gerenciador de senhas empresarial é uma ferramenta para os funcionários armazenarem, gerenciarem e acessarem com segurança suas credenciais de login e outros dados confidenciais em um cofre digital criptografado. Um funcionário pode acessar seu cofre digital somente se inserir sua senha principal.

Um gerenciador de senhas empresarial protege as contas dos funcionários identificando senhas fracas e solicitando que os usuários as fortaleçam. Elas também dão aos administradores de TI visibilidade total sobre as práticas de senhas dos funcionários para garantir que eles utilizem senhas fortes e exclusivas. Utilizar um gerenciador de senhas empresarial permite que os funcionários compartilhem com segurança suas senhas com os membros da organização.

Habilite a MFA

A autenticação multifator (MFA, Multi-Factor Authentication) é uma medida de segurança que exige que os usuários forneçam uma prova adicional de identificação para obter acesso a uma conta, dispositivo ou rede. A MFA adiciona uma camada extra de segurança e garante que apenas usuários autorizados tenham acesso aos sistemas e arquivos da organização. Mesmo que as credenciais de login de um funcionário sejam comprometidas, o cibercriminoso não teria acesso às informações confidenciais porque elas são protegidas pelo fator de autenticação adicional.

Implemente o acesso de privilégio mínimo

O princípio do privilégio mínimo é um conceito de segurança cibernética no qual as organizações dão aos usuários acesso apenas aos recursos necessários para que eles realizem seus trabalhos, e nada mais. Ao implementar o acesso de privilégio mínimo, as organizações limitam o acesso de um usuário a informações confidenciais e protegem os dados da organização. O acesso de privilégio mínimo reduz a superfície de ataque de uma organização, impede o movimento lateral dos atores de ameaças e minimiza ameaças internas.

As organizações podem implementar o acesso de privilégio mínimo utilizando uma solução de gerenciamento de acesso privilegiado (PAM, Privileged Access Management). O PAM refere-se ao gerenciamento e proteção de contas privilegiadas com acesso a dados e sistemas altamente confidenciais. Uma solução de PAM permite que os administradores visualizem toda a infraestrutura de dados e controlem quem tem acesso privilegiado aos recursos da organização.

Treine seus funcionários para reconhecer ameaças cibernéticas

Para proteger as identidades digitais dos seus funcionários, é necessário treiná-los para reconhecer ameaças cibernéticas. Os cibercriminosos atacam funcionários com ameaças cibernéticas para roubar suas identidades digitais e obter acesso não autorizado aos sistemas de uma organização. Ao informar os funcionários sobre ameaças cibernéticas e treiná-los sobre como evitá-las, sua organização pode proteger seus dados confidenciais contra violações de segurança.

Invista em soluções de segurança cibernética adicionais

Os cibercriminosos utilizam uma variedade de técnicas para roubar seus dados. Sua organização precisa investir em soluções de segurança cibernética, como um software antivírus e uma VPN, para protegê-la on-line.

• Software antivírus: programa que detecta, previne e remove qualquer malware conhecido para impedir que ele infecte seu dispositivo. Um software antivírus protege sua organização contra cibercriminosos que tentam instalar malware nos seus dispositivos para roubar os atributos da identidade digital de um usuário.
• Rede privada virtual (VPN): um serviço que criptografa sua conexão de internet e mascara seu endereço IP, protegendo sua privacidade online. Ao criptografar sua conexão de internet, uma VPN protege seus dados contra cibercriminosos que tentam interceptar e utilizar seus dados para obter acesso não autorizado.

Mantenha o software da sua organização atualizado

Os cibercriminosos tentam explorar vulnerabilidades encontradas em software não corrigido ou desatualizado para obter acesso não autorizado aos sistemas da sua organização. Para evitar que os cibercriminosos explorem vulnerabilidades de software conhecidas, sua organização precisa atualizar regularmente seu software com correções que removam qualquer vulnerabilidade e falha de segurança.

Utilize o Keeper® para proteger as identidades digitais

As identidades digitais são importantes para verificar os usuários e conceder acesso aos dados confidenciais de uma organização. Os cibercriminosos tentam roubar identidades digitais para obter acesso não autorizado à rede de uma organização. As organizações precisam proteger suas identidades digitais para evitar violações de segurança e vazamentos de dados. A melhor maneira de proteger as identidades digitais é com uma solução de PAM.

O KeeperPAM™ é uma solução de gerenciamento de acesso privilegiado que permite que as organizações protejam suas identidades digitais combinando o Keeper Enterprise Password Manager (EPM), o Keeper Secrets Manager® (KSM) e o Keeper Connection Manager® (KCM). Com o KeeperPAM, as organizações podem gerenciar melhor contas privilegiadas. Solicite uma demonstração do KeeperPAM para proteger as identidades digitais da sua organização.