Quadrilhas de ransomware pararam de adivinhar suas senhas. Elas estão aparecendo como “contratados de TI”, com crachás e currículos na mão. Em comunicados recentes, Google e o FBI alertaram sobre criminosos infiltrando empresas ao se passarem por profissionais de tecnologia — às vezes até presencialmente. Se seus controles presumem que uma chamada de Zoom convincente equivale a confiança, você já perdeu.
Isso não é um problema de contratação. É um problema de sistemas. Como CTO, você precisa de uma forma repetível de provar duas coisas para toda pessoa que toca produção: quem ela é e qual é o dispositivo dela. Todo o resto — SSO, IAM, RBAC — fica em cima dessa fundação. Se a fundação é falsa, todo o seu modelo de acesso desmorona.
A realidade do nearshore: sobreposição de fuso não é sobreposição de controle
Brazil e a América Latina dão a você 6–8 horas de sobreposição com os fusos dos EUA e acesso a mais de 750 mil desenvolvedores. Isso é ótimo para execução. Também significa que seus controles precisam funcionar em dispositivos, ISPs e regimes legais variados (LGPD no Brazil). Você não pode voar todo mundo para a matriz para conferir crachás. Você precisa de identidade baseada em hardware, postura de dispositivo que possa ser verificada e acesso de rede que pressuponha que o roteador de casa é hostil.
Um modelo de controles em cinco camadas que realmente resiste a impostores
Se você implementar só uma ou duas camadas, os atacantes contornam. Você precisa das cinco, com regras claras e telemetria:
1) Comprovação de identidade na entrada (e trimestral)
- Documento + prova de vida: Use um fornecedor que valide documento de identidade e faça prova de vida por selfie (nada de foto estática), além de checagens de risco com retorno ao servidor. Busque fluxos abaixo de 2 minutos e registre um ID da sessão de verificação auditável.
- Validação regional: Para Brazil, exija CPF em arquivo e valide formato/emissão. Não armazene scans além do necessário; vincule um resultado atestado de verificação ao registro de RH da pessoa para manter conformidade com a LGPD.
- Reverifique trimestralmente: Pessoas mudam de função e de circunstâncias. Espere que 1–2% das revalidações falhem por documentos vencidos ou divergências; isso é um recurso, não um bug.
2) Autenticação com suporte de hardware para tudo que importa
- FIDO2 obrigatório: Exija passkeys de plataforma ou chaves de segurança roaming para SSO e consoles administrativos. Nada de SMS, nada de OTP por email como fallback. Forneça pelo menos uma chave reserva por pessoa.
- Assinatura de Git de verdade: Exija assinatura com hardware para commits e tags (sk-SSH ou Sigstore). Combine com DCO e proteções de branch para que um cookie roubado não reescreva o histórico.
- Break-glass com prova: Para bypass de emergência, exija um segundo aprovador e armazene um código de motivo à prova de adulteração vinculado ao ticket do incidente.
3) Postura de dispositivo que você ateste, não só declare
- COBO vence BYOD: Laptops Company-Owned, Business-Only dão postura consistente. Se tiver que aceitar BYOD, exija inscrição no MDM com criptografia de disco, secure boot e baseline de SO atual (macOS até uma minor atrás, Windows 11 atual, Ubuntu LTS atual).
- Meça a postura no início da sessão: Controle o acesso com base em sinais de TPM/secure enclave, saúde do EDR, criptografia de disco, estado do firewall e versão de kernel. Sem postura, sem produção.
- EDR resistente a adulteração: Escolha um EDR que integre com drivers de kernel e se recuse a rodar em máquinas com root/jailbreak. A telemetria deve incluir inícios de processos e ferramentas suspeitas (dumps de credenciais, sniffers de pacotes fora dos perfis aprovados).
4) Rede que parte do princípio de que o ISP está comprometido
- ZTNA em vez de VPN: Use um broker de acesso zero-trust que vincule identidade à postura do dispositivo e emita certificados de cliente de curta duração. Brokers baseados em WireGuard são rápidos e scriptáveis.
- Egress pinning: Todos os sistemas sensíveis devem ver tráfego vindo de um pequeno conjunto de IPs sob seu controle. Se não der para fixar por IP, fixe por certificados de cliente mTLS emitidos pelo seu broker.
- Política regional: Faça geofencing de consoles sensíveis para os países onde seu time opera. Se você trabalha com Brazil, permita BR+US; bloqueie o resto. Combine com detecção de viagem impossível.
5) Acesso que expira por padrão
- JIT em todo lugar: Papéis administrativos, consoles de cloud, shells de banco — nada de privilégios permanentes. O acesso exige um ticket, aprovação do gestor e expira automaticamente em horas, não dias.
- Gravação de sessão para UIs administrativas: Onde houver suporte, grave teclas e telas. Anexe as gravações aos tickets. Você usará isso para diferenciar se uma ação arriscada foi má-fé ou incompetência.
- Higiene de contas de serviço: Gire segredos em cronograma e imponha TTLs curtos para tokens. Se seu agente ou script não consegue lidar com refresh, seu modelo de risco está errado.
Custos e trade-offs: o que isso realmente exige
Segurança que funciona não é grátis, mas é previsível. Para um pod nearshore de cinco engenheiros sêniores no Brazil:
- Laptops (COBO): USD $1,400–$1,800 por dispositivo. Amortizado em 24 meses: ~US$ 60–US$ 75 por mês.
- MDM + EDR: US$ 8–US$ 20 por usuário/mês, dependendo do fornecedor e dos recursos.
- Broker ZTNA/WireGuard: US$ 5–US$ 12 por usuário/mês.
- Chaves de segurança: US$ 50–US$ 80 por chave; compre duas por pessoa. Amortize para ~US$ 6/mês.
- Envio/importação para Brazil: US$ 100–US$ 250 por laptop, dependendo da rota e da alfândega. Faça envios em lote e use um parceiro logístico local.
Total: cerca de US$ 80–US$ 120 por pessoa/mês em controles operacionais após o capex inicial de dispositivos. Se isso parecer caro, precifique uma única recuperação de ransomware ou um evento de confiança do cliente. A conta vira rápido.
Trade-offs sobre os quais ser honesto:
- Fricção vs. fluxo: Engenheiros sêniores odeiam fricção. Então direcione a fricção para ações de alto risco (elevação de privilégio, acesso a dados de produção) e mantenha leves os fluxos de desenvolvimento somente leitura.
- Ótica do BYOD: BYOD parece fácil até seu EDR brigar com um antivírus pessoal ou um tethering de Android com root. Preveja orçamento para migrar para COBO em 90 dias.
- Realidades offline: ISPs brasileiros podem ser instáveis. Forneça franquia para tethering e faça seu ZTNA reconectar de forma resiliente. Não recaia para apenas senha em condições ruins de rede.
Framework de decisão: controles minimamente viáveis vs. stack madura
Nem toda empresa precisa do mesmo rigor no dia um. Escolha um nível e evolua de forma deliberada:
Nível 0 (O que você pode ter hoje — arriscado demais)
- Entrevista por Zoom + currículo → convite no Google Workspace
- OTP por email como MFA; gerenciadores de senhas opcionais
- Chaves SSH em laptops que você não controla
- VPN compartilhada com um único PSK e sem checagens de postura
Nível 1 (Zero-trust minimamente viável para contratados; 30 dias)
- Identidade: Documento + prova de vida na entrada; reverificação trimestral
- Autenticação: FIDO2 para SSO e apps críticos; elimine fallback por SMS/voz
- Dispositivo: inscrição em MDM obrigatória; criptografia de disco + baseline de SO aplicados
- Rede: broker ZTNA para apps administrativos; comece egress pinning para APIs de produção
- Acesso: elevação JIT para papéis administrativos; break-glass com aprovação + auditoria
Nível 2 (Defesa crível; 60 dias)
- Assinatura de Git com hardware obrigatória em branches protegidas
- EDR com proteção contra adulteração e monitoramento de processos
- Certificados de cliente mTLS vinculados à identidade do dispositivo para serviços sensíveis
- Gravação de sessão para consoles de cloud e ferramentas de suporte
- Segredos: Tokens de curta duração em todo lugar; rotação programada com automação
Nível 3 (Stack madura; 90–120 dias)
- Laptops COBO para todos; BYOD descontinuado em fases
- Gating por postura no início da sessão e contínuo (kill-switch em caso de desvio)
- Geofencing + alertas de viagem impossível com bloqueios automáticos
- Checagens de prova de vida surpresa periódicas atreladas a pedidos JIT
- Programa de risco de fornecedores com auditorias técnicas para qualquer terceiro com acesso à produção
Detalhes de implementação que importam mais do que marcas
Comprovação de identidade
- Exija evidência, não PDFs: Armazene um recibo verificável do seu fornecedor de verificação (ID da transação, métodos usados, timestamp). É isso que auditores e seguradoras vão pedir.
- Mantenha PII fora dos seus sistemas: Retenha apenas o resultado da verificação e identificadores mínimos. Deixe o fornecedor carregar o ônus de armazenar documentos dentro do escopo de compliance dele.
- Desafio por canal secundário: Para funções de alto risco, inclua um desafio com uma segunda fonte de dados (ex.: conhecimento do CPF/CNPJ local) durante a entrada.
Autenticação com hardware
- Duas chaves, dois admins, duas geos: Emita duas chaves de segurança por pessoa. Mantenha uma em um cofre em casa; deposite uma reserva lacrada no escritório do seu parceiro nearshore. Faça rotação quando as pessoas mudarem de endereço.
- Elimine agressivamente fallbacks fracos: Remova fluxos de SMS e OTP por email de apps críticos. Ofereça uma janela de recuperação limitada no tempo via helpdesk com prova de vida em vídeo + segundo aprovador.
Postura de dispositivo
- Atestar ou bloquear: Seu broker de acesso deve ler o estado de secure boot/TPM e a saúde do EDR no momento da conexão. Se esses sinais estiverem ausentes, bloqueie o acesso automaticamente.
- SLA de patch de 14 dias: Exija atualizações de SO e navegador em até 14 dias após o lançamento. Dispositivos não conformes perdem acesso até atualizarem.
- Sem admin local: Proíba admin local em dispositivos COBO; forneça uma ferramenta de elevação timeboxed com auditoria quando necessário.
Controles de rede
- Um egress, muitos caminhos: Termine todo o tráfego sensível por um egress regional seu em São Paulo/Ashburn. A latência fica baixa; a política fica simples.
- DNS em que você confia: Force DoH/DoT para um resolvedor sob seu controle. Bloqueie DNS dinâmico conhecido e nós de saída de proxies residenciais.
- Entropia do roteador doméstico: Pressuponha que o roteador está comprometido. Seu broker deve criptografar dispositivo-para-broker e broker-para-serviço; nunca confie na LAN.
Higiene de acesso
- Ticket ou sem acesso: Envolva o JIT no seu sistema de tickets. Se não houver ID de ticket aprovado, o broker não concede elevação. É incrível quantas “emergências” somem quando existe um formulário.
- Journaling de sessões administrativas: Prefira gravações nativas (ex.: session managers do provedor de cloud) a screen-scrapers quando disponíveis. Caso contrário, implemente um gateway de acesso privilegiado que registre teclas e telas.
- Contas de serviço com donos: Toda conta de serviço tem um dono humano, um cronograma de rotação e um alerta quando for usada por um caminho inesperado.
Como implantar isso em 90 dias sem quebrar a entrega
Dias 0–30: Feche os maiores buracos
- Torne FIDO2 obrigatório no SSO e consoles críticos; remova fallbacks por SMS/voz
- Inventarie dispositivos; aplique MDM, criptografia de disco, baselines de SO
- Implemente ZTNA para ferramentas administrativas; pare de usar VPNs compartilhadas
- Inicie fluxos JIT para papéis administrativos na cloud; adicione política de break-glass com aprovações
- Faça uma reverificação de entrada para todos os contratados com prova de vida; documente os resultados
Dias 31–60: Vincule identidade a dispositivo e rede
- Implemente assinatura de Git com hardware em branches protegidas
- Ative EDR com proteção contra adulteração e alertas
- Habilite egress pinning para APIs de produção; imponha mTLS para serviços sensíveis
- Adicione gravação de sessão a consoles administrativos
- Faça geofencing de acesso administrativo; configure alertas de viagem impossível com bloqueio automático
Dias 61–90: Padronize e audite
- Transicione funções de alto risco para laptops COBO; planeje datas de sunset do BYOD para o restante
- Implemente cadência trimestral de reverificação no HRIS
- Automatize rotações de tokens; defina políticas de TTL no CI/CD e na infra
- Execute um exercício de red team focado em personificação de contratados e comprometimento de dispositivos
- Crie um único documento de “contractor security baseline”; peça que parceiros nearshore assinem
O que é “bom” em telemetria
- 100% dos contratados ativos com verificação de documento+prova de vida bem-sucedida nos últimos 90 dias
- 100% de adesão a FIDO2; zero logins bem-sucedidos via fallback fraco
- 95%+ dos dispositivos atendendo à postura na conexão; o restante bloqueado até a remediação
- Todas as ações privilegiadas atreladas a tickets JIT com gravações de sessão
- Zero endpoints de produção aceitando tráfego de egress não fixado ou sem mTLS
Por que isso funciona contra falsos profissionais de TI
Impostores prosperam onde a identidade é social e o acesso é persistente. Esta stack quebra ambas as premissas. Eles não conseguem passar por provas de vida repetidamente sem escorregar. Não conseguem fazer login sem um fator de hardware. Não alcançam produção a menos que o enclave seguro do dispositivo diga sim. E, se entrarem, a sessão é curta, gravada e vinculada a um ticket que você pode revogar sem discutir sobre “intenção”.
Realidades específicas do Brazil (e como lidamos com elas na DHD Tech)
- Logística: Importamos em lote laptops COBO e chaves de segurança com parceiros locais para evitar surpresas na alfândega e lidar com reparos localmente.
- Conectividade: Padronizamos um ZTNA que tolera ISPs instáveis e reconecta de forma elegante. Para incidentes críticos, provisionamos SIMs de failover LTE.
- Compliance: Desenhamos fluxos compatíveis com a LGPD — minimizamos retenção de PII, nos apoiamos em atestações de fornecedores e separamos dados de verificação das visões gerais do HRIS.
- Cultura: Explicamos o “por quê” no onboarding e colocamos fricção onde importa. Engenheiros sêniores aceitam guardrails quando veem que são direcionados, não lentidões generalizadas.
Não terceirize a confiança — operacionalize-a
A onda de “falsos profissionais de TI” é apenas o lembrete mais recente: sua superfície de ataque são pessoas em dispositivos. Você não compra um único produto que faça isso desaparecer. Mas você pode operacionalizar a confiança com controles em camadas e auditáveis que acompanham seu time esteja ele em Austin ou São Paulo. Faça isso em 90 dias, meça mensalmente e durma melhor sabendo que um sorriso simpático no Zoom não mexe nas suas joias da coroa.
Principais aprendizados
- Presuma que contratados podem ser personificados; prove a identidade com documento+prova de vida na entrada e trimestralmente depois.
- Torne FIDO2 obrigatório para SSO e consoles administrativos; elimine fallbacks por SMS/voz.
- Controle o acesso com base em postura de dispositivo atestável: secure boot/TPM, criptografia de disco, SO atualizado e EDR saudável.
- Use ZTNA com egress pinning e mTLS; pressuponha que roteadores domésticos e ISPs são hostis.
- Adote acesso JIT com expiração e gravação de sessão; nada de privilégios permanentes.
- Reserve ~US$ 80–US$ 120 por pessoa/mês para controles operacionais após o capex de dispositivos.
- Implemente em 90 dias: feche buracos (0–30), vincule identidade a dispositivos (31–60), padronize e audite (61–90).