Gestão de acessos: o controlo verificado em todas as auditorias - Kyrylo Proskurnya

Se preciso de perceber numa hora a maturidade da segurança de uma empresa, olho para a gestão de acessos. É o processo mais revelador: nele vê-se a disciplina, a automatização e a cultura. E é aqui que surgem mais constatações nas auditorias.

O ciclo de vida do acesso

Concessão. Por pedido, com aprovação do dono do sistema, segundo um modelo de papéis — e não «deem-me como o do colega».
Alteração. A mudança de funções é o momento mais perigoso: os direitos antigos devem ser retirados, não acumulados.
Revogação. Dia de saída = dia de bloqueio. O auditor vai cruzar a lista de saídas com as contas ativas.

Princípios que têm de funcionar

Privilégio mínimo: acesso apenas ao necessário para o papel;
segregação de funções: quem inicia um pagamento não o aprova;
MFA onde houver dados sensíveis — hoje é higiene básica;
contas privilegiadas à parte: direitos de administrador — pessoais, não partilhados, com registo reforçado.

Revisões de acessos

O luxo de «configurar e esquecer» não funciona: trimestralmente (para sistemas críticos), os donos devem confirmar a atualidade das permissões. Nas empresas pequenas é uma hora com uma tabela; nas maiores, motivo para automatização IGA. Os resultados das revisões são exatamente os registos que peço na auditoria.

Achados típicos do auditor

Contas ativas de ex-colaboradores, um «admin» partilhado por toda a equipa, permissões «temporárias» dadas há um ano, VPN sem MFA. Tudo isto está na minha lista de não conformidades comuns.

O ciclo de vida do acesso

Princípios que têm de funcionar

Revisões de acessos

Achados típicos do auditor

Leia também