No artigo anterior do blog, exploramos por que a implementação costuma ser a parte mais difícil da modernização da identidade. Os padrões oferecem uma base essencial para a interoperabilidade, mas uma implantação bem-sucedida exige que as organizações superem a lacuna entre as especificações técnicas e as realidades operacionais.
No entanto, mesmo quando os sistemas de identidade interagem com sucesso e funcionam conforme o esperado, permanece uma questão importante:
Como você realmente determina se uma identidade é confiável?
À medida que as organizações deixam para trás os sistemas de verificação isolados e avançam em direção a estruturas de confiança mais amplas, a garantia está se tornando tão importante quanto a própria identidade. A discussão não se resume mais apenas ao estabelecimento da identidade. Trata-se, cada vez mais, de compreender se uma identidade é confiável em diferentes organizações, canais e casos de uso.
A confiança não surge automaticamente
Ao longo desta série, exploramos o esforço do setor em direção a uma maior interoperabilidade. As organizações desejam que as informações de identidade circulem de forma mais integrada entre instituições, canais e ecossistemas, a fim de reduzir atritos, eliminar processos de verificação redundantes e proporcionar melhores experiências aos usuários.
No entanto, a interoperabilidade por si só não gera confiança.
Uma identidade pode ser trocada com sucesso entre sistemas, mas isso não significa que todas as organizações depositarão o mesmo nível de confiança nela. A capacidade de transferir informações de identidade é fundamentalmente diferente da capacidade de confiar nessas informações uma vez que elas chegam ao destino. De muitas maneiras, isso reflete a distinção entre portabilidade de dados e portabilidade de confiança. Transferir informações é relativamente simples. Transferir confiança é consideravelmente mais difícil.
À medida que a identidade digital se expande nos setores de serviços financeiros, saúde, mobilidade e no setor público, as organizações estão cada vez mais percebendo que a interoperabilidade é apenas parte do desafio. A questão mais importante é se uma identidade é confiável para uma finalidade específica, em circunstâncias específicas e em um determinado momento.
A garantia depende do contexto
Há muitos anos, as organizações vêm recorrendo a estruturas de Níveis de Garantia (LOA) para estabelecer confiança nas identidades digitais. Essas estruturas oferecem uma base útil para avaliar como as identidades são verificadas, como as credenciais são emitidas e como os usuários se autenticam.
O desafio é que a confiança raramente é estática.
Uma identidade de alta garantia estabelecida durante o cadastro pode servir como um ponto de partida sólido, mas a confiança pode mudar com o tempo. Os dispositivos são substituídos, as credenciais são renovadas, o comportamento dos usuários evolui e o panorama das ameaças continua a se transformar. À medida que os sistemas de identidade se tornam mais interconectados, a garantia passa a ser, cada vez mais, um atributo dinâmico, e não mais um atributo fixo.
Ao mesmo tempo, os requisitos de confiança variam significativamente dependendo da transação que está sendo realizada. Uma instituição financeira que abre uma nova conta enfrenta um conjunto diferente de riscos do que um prestador de serviços de saúde que concede acesso às informações de pacientes. Da mesma forma, uma operadora de transporte público que valida a elegibilidade para um programa de concessão pode exigir um nível de confiança diferente do que uma organização que autoriza um pagamento de alto valor.
A identidade subjacente pode ser a mesma, mas os requisitos de garantia não são.
Essa mudança está levando as organizações a ir além da simples questão de quem é um indivíduo. Cada vez mais, elas estão se perguntando quanta confiança é necessária para apoiar uma decisão específica. A confiança não é mais vista como um resultado binário. Ela é contextual, baseada no risco e depende do propósito.
A confiança deve ser continuamente comprovada
Historicamente, muitos programas de identidade se concentravam fortemente no cadastro. Uma vez que a identidade fosse verificada e as credenciais emitidas, a confiança era, em grande parte, dada como certa daí em diante.
Os ecossistemas digitais modernos estão desafiando essa abordagem.
As organizações estão cada vez mais reconhecendo que a confiança deve ser mantida ao longo de todo o ciclo de vida da identidade. O cadastro continua sendo importante, mas é apenas um componente de uma estrutura de garantia mais ampla que inclui autenticação, gerenciamento de credenciais, processos de recuperação e manutenção contínua.
Alguns dos riscos mais significativos surgem muito tempo depois que uma identidade já foi estabelecida. Os procedimentos de recuperação de contas, os casos de substituição de dispositivos e os fluxos de trabalho para tratamento de exceções podem introduzir vulnerabilidades que comprometem programas de identidade que, de outra forma, seriam robustos. Consequentemente, a garantia de segurança está sendo cada vez mais vista como um desafio ao longo do ciclo de vida, em vez de um evento de verificação pontual.
Essa evolução está impulsionando uma maior adoção de abordagens baseadas em risco, que avaliam continuamente os sinais de confiança ao longo de toda a jornada do usuário. A reputação do dispositivo, a análise comportamental, o contexto da transação e os padrões de autenticação podem, todos, contribuir para uma visão mais dinâmica da garantia de segurança. O objetivo não é simplesmente estabelecer a confiança uma única vez, mas determinar continuamente se a confiança continua sendo adequada ao longo de toda a interação.
Medindo a confiança no mundo real
Assim como a interoperabilidade deve ser validada em ambientes operacionais, a garantia de qualidade também deve ser testada em condições reais.
As organizações precisam ter certeza de que os sistemas de identidade funcionam de maneira consistente entre diferentes usuários, canais, dispositivos e ambientes operacionais. Elas precisam entender como os sistemas se comportam durante eventos de recuperação, falhas de autenticação, condições de rede prejudicadas e cenários de fraude em constante evolução. A garantia não pode se limitar apenas a políticas ou especificações técnicas. Ela deve ser comprovada na prática.
Na Fime, uma parte essencial do nosso trabalho consiste em ajudar as organizações a conquistar a confiança por meio de testes, certificação e validação de interoperabilidade em ecossistemas de identidade e pagamentos. A Consult Hyperion complementa essas capacidades por meio de projetos de sistemas, suporte à integração e serviços de consultoria estratégica que ajudam as organizações a transformar os requisitos de garantia em modelos práticos de implantação.
Juntas, essas capacidades ajudam as organizações a ir além dos modelos teóricos de confiança e alcançar resultados mensuráveis nessa área.
A próxima etapa na evolução da confiança digital
À medida que o ecossistema de identidade da América do Norte continua a amadurecer, a garantia está se tornando a base sobre a qual se constroem estruturas de confiança mais amplas.
Essa evolução está começando a moldar uma nova geração de infraestrutura de identidade, incluindo carteiras digitais, credenciais verificáveis e carteiras de motorista digitais. Esses modelos emergentes buscam tornar as informações de identidade confiáveis mais portáteis entre organizações e casos de uso, ao mesmo tempo em que proporcionam aos indivíduos maior controle sobre como as informações são compartilhadas e verificadas.
A promessa é significativa. Em vez de verificar repetidamente as mesmas informações em diferentes organizações, as credenciais confiáveis podem ser reutilizadas em várias interações e ecossistemas. No entanto, isso também levanta novas questões relacionadas à interoperabilidade, governança, validação de credenciais e portabilidade da garantia.
O futuro da identidade não será determinado apenas pela capacidade de as informações circularem entre os sistemas. Será, cada vez mais, determinado pela capacidade de a confiança circular junto com elas.
As organizações que terão sucesso serão aquelas que reconhecerem que a confiança não é binária, estática nem algo que se dá como certo. Ela é contextual, mensurável e avaliada continuamente.
No próximo artigo do blog, exploraremos como as carteiras digitais, as credenciais verificáveis e as carteiras de habilitação digitais estão se tornando a próxima geração de infraestrutura de identidade e por que podem se tornar uma base essencial para estruturas de confiança interoperáveis em toda a América do Norte.
Saiba mais em nossa série de posts do blog “Identidade Digital na América do Norte”:
Capítulo I: A realidade da identidade na América do Norte: fragmentada por natureza
Capítulo II:A lacuna de interoperabilidade: onde os sistemas de identidade falham
Capítulo III: Dos padrões aos sistemas: por que a implementação é a parte mais difícil
Capítulo V: Novas tendências: carteiras digitais, credenciais e o futuro da identidade impulsionado pelos dispositivos móveis
Capítulo VI: Construindo confiança prática: as estruturas que definirão a identidade digital na América do Norte
