Acessos indevidos afetam 40% das médias empresas

Quatro em cada dez organizações com 500 a 999 colaboradores registaram acessos não autorizados a dados sensíveis durante o último ano, segundo o 2026 Data and Identity Security Report, da Netwrix. O estudo identifica dificuldades na gestão de identidades e no controlo de acessos, particularmente nas empresas de média dimensão.

A percentagem de incidentes neste segmento, de 40%, é superior à registada nas organizações com menos de 500 colaboradores (18%) e nas grandes empresas com 10 mil ou mais trabalhadores (27%).

A investigação revela ainda que 80% das organizações com 500 a 999 colaboradores não conseguem obter uma visão centralizada da localização dos dados sensíveis e das identidades com permissões para lhes aceder. Nas empresas de menor dimensão e nas organizações com mais de dez mil colaboradores, esta dificuldade é referida por 70% dos inquiridos.

Grady Summers, CEO da Netwrix, considera que as empresas nesta fase de crescimento enfrentam desafios específicos, uma vez que a complexidade da gestão de acessos aumenta sem que exista necessariamente uma evolução proporcional das equipas e ferramentas de segurança.

Gestão de identidades apresenta lacunas

O relatório baseia-se nas respostas de 2.317 profissionais de Tecnologias de Informação e segurança, incluindo 1.344 que trabalham em organizações com menos de mil colaboradores.

Neste último grupo, 76% dos inquiridos afirmam que a segurança das identidades e dos dados não está integrada numa estratégia única.

O estudo revela também que 70% das organizações mantêm contas privilegiadas com acesso permanente a sistemas ou dados sensíveis. Apenas 18% removem automaticamente estas permissões quando deixam de ser necessárias.

A expansão da utilização de Inteligência Artificial (IA) e de ferramentas de automatização está igualmente a aumentar a complexidade da gestão de acessos. Segundo a Netwrix, 67% dos inquiridos neste segmento indicam que estas tecnologias aumentaram o número de identidades com acesso a informação sensível. Nas organizações com menos de 500 colaboradores, a percentagem é de 50%.

Outro indicador diz respeito à gestão de acessos privilegiados de terceiros. Cerca de 28% das organizações com menos de mil colaboradores recorrem a ferramentas desenvolvidas internamente ou a soluções improvisadas para controlar estas permissões.

Confiança nos controlos não impede incidentes

O relatório identifica diferenças entre a perceção de segurança das organizações e os incidentes efetivamente registados.

Entre as empresas que sofreram acessos não autorizados, 87% afirmavam estar confiantes de que o seu Active Directory não apresentava configurações incorretas suscetíveis de permitir a escalada de privilégios.

Além disso, 85% consideravam ter capacidade para identificar combinações de permissões de utilizadores que representassem riscos de segurança.

Os incidentes também tiveram consequências financeiras. Entre as organizações que registaram acessos não autorizados, 56% estimaram um impacto superior a 100 mil dólares.

As interrupções operacionais e os danos na confiança dos clientes foram identificados por 47% das organizações afetadas, em ambos os casos.

Pequenas empresas enfrentam outros desafios

Nas organizações com menos de 500 colaboradores, a investigação identifica dificuldades adicionais relacionadas com a avaliação de segurança e a gestão de identidades não humanas.

Cerca de 23% destas empresas não realizaram uma avaliação de segurança do Active Directory durante o último ano. Nas organizações com dez mil ou mais colaboradores, a percentagem foi de 8%.

O estudo indica ainda que 18% das empresas com menos de 500 trabalhadores não dispõem de mecanismos de governação para identidades não humanas, como contas de serviço e identidades utilizadas por aplicações. Nas grandes organizações, esta situação é reportada por apenas 2%.

A preparação para os riscos associados à IA constitui outra área de preocupação. Cerca de 26% das pequenas empresas admitem não estar preparadas para os desafios de segurança desta tecnologia, não dispondo de inventários formais de dados utilizados por sistemas de IA nem de políticas de utilização.

Orçamento e competências limitam investimentos

A disponibilidade de recursos financeiros continua a ser o principal obstáculo à melhoria da segurança de identidades e dados nas organizações com menos de mil colaboradores.

Segundo a Netwrix, 34% dos inquiridos identificam as limitações orçamentais como a principal barreira, enquanto 28% apontam a falta de competências especializadas e de recursos humanos.