Democratização da segurança de identidade: arquitetura IAM de baixo custo para o cenário das PMEs

Abstract

O presente trabalho investiga a viabilidade técnica e econômica da implementação de uma arquitetura de Gestão de Identidades e Acessos (IAM) baseada em soluções de código aberto para o contexto das Pequenas e Médias Empresas (PMEs) brasileiras. A pesquisa parte do diagnóstico de que esse segmento opera frequentemente com controles de acesso inadequados, caracterizados pelo compartilhamento de credenciais, pela ausência de rastreabilidade e pela inexistência de processos formais de provisionamento e revogação de acessos, fatores que ampliam significativamente a superfície de ataque e expõem as organizações a riscos de violação de dados e a sanções regulatórias previstas na Lei Geral de Proteção de Dados Pessoais (LGPD). A metodologia adotada caracteriza-se como pesquisa descritiva e aplicada, fundamentada em revisão bibliográfica e documental com base em artigos científicos, documentações técnicas, relatórios setoriais de segurança cibernética e normas regulatórias, sem implementação prática em ambiente de produção. O referencial teórico aborda os conceitos fundamentais de identificação, autenticação e autorização, os modelos de controle de acesso e os princípios do modelo Zero Trust, formalizados pelo National Institute of Standards and Technology (NIST). São detalhados os fluxos de onboarding, gestão de movimentações internas com revisão periódica de privilégios e offboarding, todos centrados no Keycloak como ponto único de provisionamento e revogação de acessos. Os resultados demonstram que a arquitetura proposta é tecnicamente viável, economicamente acessível e aderente às exigências do Art. 46 da LGPD, estabelecendo uma fundação sólida para a implementação progressiva dos princípios Zero Trust em organizações que não dispõem de equipes dedicadas de segurança da informação. Palavras-Chave: Zero Trust; Keycloak; Pequenas e Médias Empresas.

This study investigates the technical and economic feasibility of implementing an open source Identity and Access Management (IAM) architecture for Brazilian Small and Medium-sized Enterprises (SMEs). The research is motivated by the observation that this sector frequently operates with inadequate access controls, characterized by credential sharing, lack of traceability, and the absence of formal user provisioning and deprovisioning processes, factors that significantly increase the attack surface and expose organizations to risks of data breaches and penalties established under the Brazilian General Data Protection Law (Lei Geral de Proteção de Dados — LGPD). The study adopts a descriptive and applied research methodology based on a bibliographic and documentary review of scientific articles, technical documentation, cybersecurity industry reports, and regulatory standards, without deployment in a production environment. The theoretical framework addresses the fundamental concepts of identification, authentication, and authorization, as well as access control models and the principles of the Zero Trust model formalized by the National Institute of Standards and Technology (NIST). The onboarding, role change management with periodic privilege reviews, and offboarding workflows are described in detail, all centered on Keycloak as the centralized platform for identity provisioning and access revocation. The results demonstrate that the proposed architecture is technically viable, cost-effective, and compliant with the requirements of Article 46 of the LGPD, establishing a solid foundation for the progressive implementation of Zero Trust principles in organizations that lack dedicated information security teams. Keywords: Zero Trust; Keycloak; Small and Medium-sized Enterprises.