AleffTech.
infra-ai-ready seguranca

SSO: por que empresa que cresceu já devia ter login único

Cada sistema com senha própria é uma porta separada para proteger e desligar. Veja o que o SSO resolve, o que não resolve e quando implantar.

Por Aleff · · 7 min de leitura

SSO (single sign-on, ou login único) faz a pessoa se autenticar uma vez, num ponto central, e acessar todos os sistemas autorizados da empresa. Vale a pena quando a empresa tem mais de um punhado de sistemas com senha própria e demora para desligar o acesso de quem sai. Ele não substitui o MFA. Precisa vir junto com ele.

O resto deste artigo explica o porquê, aponta o risco que o SSO cria e mostra como decidir se chegou a hora.

O que é login único e como ele funciona?

A empresa contrata sistema por sistema, conforme a necessidade: um para financeiro, outro para CRM, outro para projetos. Cada um nasce com login próprio. Funciona até o dia em que gerenciar essas identidades separadas vira, por si só, trabalho manual e fonte de risco.

No login único, um provedor de identidade (IdP) autentica a pessoa. Depois ele envia aos sistemas conectados uma confirmação verificável de que a pessoa é quem diz ser. O NIST chama isso de asserção. O sistema confere a asserção e abre a sessão.

O benefício, nas palavras do NIST, é que o usuário acessa vários serviços “sem a necessidade de manter autenticadores separados” em cada um (NIST SP 800-63C, Federação e Asserções, 2025).

Você ouve três nomes para a mesma ideia: SSO, login único e federação de identidade. Provedores de identidade comuns no mercado são o Google Workspace, o Microsoft Entra ID e o Okta. Cada um tem planos, limites e custos próprios, e a escolha depende do que a empresa já usa.

Quais problemas aparecem quando cada sistema tem senha própria?

Dois, e ambos crescem em silêncio.

Senha repetida. Seis sistemas com seis senhas fortes e diferentes pedem uma ferramenta de apoio. Sem ela, a pessoa repete ou varia a mesma senha. Se isso acontece, o vazamento de uma conta abre as outras. Um sistema comprometido vira vários.

O NIST trata a senha como um ponto fraco por natureza: “senhas não são resistentes a phishing” (NIST SP 800-63B-4, 2025). O mesmo documento manda comparar senhas novas com listas de senhas conhecidas e vazadas, e proíbe trocas periódicas obrigatórias. Quanto menos senhas a empresa administra, menos delas precisam dessa defesa.

Desligamento incompleto. Quando alguém sai, revogar o acesso significa entrar em cada sistema e desativar a conta. Sem uma lista única de onde a pessoa tinha acesso, um ou dois sistemas ficam esquecidos. Não é negligência. É a falta de um mapa.

Conta esquecida de ex-funcionário é acesso não autorizado em potencial. A LGPD, no artigo 46, exige medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados (Lei 13.709/2018). O texto cobra o resultado. Não cita ferramenta.

Para montar a lista de contas e donos, leia Quem tem acesso a quê? O inventário de acessos que ninguém é dono. O SSO reduz o tamanho desse problema. O inventário mostra o que sobra fora dele.

O que o SSO resolve de fato?

Quatro coisas:

  • Menos senhas. A pessoa mantém uma credencial forte em vez de várias.
  • Desligamento num ponto só. Desativar a identidade central corta o acesso a todos os sistemas conectados.
  • Registro centralizado. O provedor guarda quem entrou, onde e quando. Espalhado entre dez sistemas, esse dado dificilmente é consultável.
  • Regras iguais para todos. Exigência de segundo fator e bloqueio de contas valem para todos os sistemas conectados de uma vez.

Essa lógica aparece nas referências de segurança. O CIS Controls, no Controle 6, descreve o objetivo de usar processos e ferramentas para criar, atribuir, gerenciar e revogar credenciais e privilégios de acesso (Center for Internet Security, CIS Controls v8). Um provedor central é a ferramenta natural para esse trabalho.

Um limite importante: o SSO só cobre o que está conectado a ele. Sistema legado sem integração continua com senha própria e continua no seu inventário.

E se o ponto central for atacado?

A objeção é válida. Centralizar o acesso também centraliza o risco. Se o provedor de identidade cair nas mãos erradas, o estrago é maior do que o de um sistema isolado.

A resposta não é evitar a centralização. É proteger o ponto central com a força que ele exige:

  1. MFA obrigatório, sem exceção. A CISA afirma que quem ativa MFA tem significativamente menos chance de ser invadido, e que qualquer MFA é melhor do que nenhum (CISA, página sobre MFA).
  2. MFA resistente a phishing quando possível. A CISA chama essa categoria de padrão a que as empresas devem aspirar, e cita FIDO/WebAuthn como a opção amplamente disponível (CISA, página sobre MFA).
  3. Contas administrativas separadas. Quem administra o provedor usa uma conta própria, não a do dia a dia.
  4. Lista curta de administradores, revisada. Poucas pessoas, com dono nomeado.

SSO sem MFA concentra o risco sem concentrar a proteção. SSO com MFA bem configurado reduz a quantidade de senhas espalhadas sem criar um ponto único frágil.

Como saber se já é hora de implantar SSO?

Faça dois levantamentos. Levam uma tarde.

  • Quantos sistemas exigem login próprio hoje? Conte os da empresa toda, inclusive os que uma área contratou por conta própria.
  • Quanto tempo leva para desligar totalmente quem sai? Pegue o último desligamento e meça. Depois confira se alguma conta ficou ativa.

Sinais de que já passou da hora:

  • O desligamento depende de alguém lembrar onde mais a pessoa tinha acesso.
  • Existem contas ativas de quem já saiu.
  • A área financeira e a de pessoas usam sistemas diferentes e ninguém sabe quem administra cada um.
  • Os fornecedores pedem acesso e a empresa cria contas locais para eles.

Não existe número mágico de sistemas. O critério é o custo de revogar acesso e o risco de esquecer um. Quando esse custo passa de conveniência para controle, o login único deixa de ser opcional.

Por onde começar a implantação?

O obstáculo raramente é a tecnologia. A maioria das ferramentas corporativas modernas aceita integração com um provedor de identidade. O que trava é não saber quais sistemas ficam de fora.

Uma ordem que reduz o risco do projeto:

  1. Liste os sistemas e separe em dois grupos. Os que integram com um provedor de identidade e os legados que não integram.
  2. Escolha o provedor de identidade. Dê preferência ao que a empresa já paga e já usa para e-mail e documentos. Avalie custo, limites do plano e suporte a MFA antes de decidir.
  3. Ative o MFA no provedor antes de conectar qualquer sistema. O ponto central nasce protegido.
  4. Conecte primeiro os sistemas que guardam dados sensíveis. Financeiro, pessoas e clientes vêm antes dos demais.
  5. Defina o processo de desligamento. O aviso do RH aciona a desativação da identidade central, e um responsável confirma.
  6. Trate os legados à parte. Registre cada um com dono e prazo de revisão. Não deixe o sistema mais antigo travar o resto.

Cada passo tem dono e critério de aceite. Sem isso, o projeto vira uma lista de boas intenções.

Onde isso encontra a Direção de Tecnologia?

Escolher o provedor, definir quem administra, decidir o que fica de fora e escolher o que fazer com o legado são decisões de tecnologia, não de configuração. Elas afetam risco, custo, prioridade e fornecedores ao mesmo tempo. E alguém precisa manter o processo vivo depois que o projeto termina.

Em empresa sem departamento de TI, essa função costuma ficar sem dono. A Direção de Tecnologia da AleffTech faz o papel de Head de TI terceirizado: organiza riscos, prioridades, custos, roadmap, fornecedores e decisões, com a execução delegada a quem implanta. O login único entra nesse roadmap como uma decisão priorizada, com dono e prazo, e não como um projeto solto.

O diagnóstico inicial faz parte do onboarding, depois da contratação. Ele levanta o estado real de sistemas e acessos para a Direção de Tecnologia ordenar o que vem primeiro.

Se a sua empresa já cruzou o ponto em que desligar um acesso depende de memória, fale com a AleffTech sobre a Direção de Tecnologia. Antes da conversa, faça o teste mais barato: pegue os desligamentos dos últimos doze meses e confira, sistema por sistema, se as contas ainda existem.

Fontes

Perguntas frequentes

O que é SSO (single sign-on), em termos simples?

É um login único. A pessoa se autentica uma vez num provedor de identidade central, e esse provedor libera o acesso aos sistemas conectados da empresa. Em vez de dez sistemas com dez senhas, existe uma identidade central. O NIST descreve esse modelo como federação: o usuário acessa vários serviços sem manter autenticadores separados em cada um (NIST SP 800-63C, 2025).

Minha empresa tem poucos sistemas. SSO ainda vale a pena?

Depende do custo de desligar um acesso hoje. Se revogar a conta de quem saiu exige entrar em vários sistemas, um por um, o SSO já compensa com poucos sistemas. O ganho cresce com cada sistema novo. Com dois ou três sistemas e um processo de desligamento simples, você pode esperar.

SSO substitui MFA (autenticação multifator)?

Não. O SSO reduz o número de senhas e centraliza o controle. O MFA exige um segundo fator além da senha. Segundo a CISA, mesmo que o atacante descubra a senha, o MFA pode barrar o acesso porque ele não cumpre a segunda exigência. A combinação certa é login único protegido por MFA.

O que acontece se o sistema de SSO for comprometido?

O impacto é maior do que o de um sistema isolado, porque o provedor de identidade passa a ser a porta de todos os outros. Por isso ele recebe a proteção mais forte da empresa: MFA obrigatório, preferencialmente resistente a phishing, contas administrativas separadas e revisão periódica de quem administra o provedor.

Quanto tempo leva para implantar SSO numa empresa com vários sistemas rodando?

Depende de quantos sistemas aceitam integração nativa com um provedor de identidade e de quantos são legados. Mapear essa divisão antes de começar define o prazo real. Sistemas modernos costumam integrar rápido. O sistema antigo, sem suporte, é o que trava o cronograma.

SSO ajuda na LGPD?

Ajuda, mas não basta sozinho. O artigo 46 da LGPD exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados. Revogar o acesso de quem saiu num único ponto é uma dessas medidas. A lei não cita SSO pelo nome.