Gestão de Acesso e Segurança Corporativa: boas práticas para proteger a empresa

A gestão de acesso é um dos principais componentes da segurança corporativa. Ela determina quem pode acessar os sistemas, quais informações podem ser consultadas e quais ações cada usuário está autorizado a realizar.

Contas antigas, permissões excessivas, credenciais compartilhadas e processos de desligamento incompletos podem abrir caminho para vazamentos de dados, fraudes e acessos não autorizados.

Para reduzir esses riscos, a empresa deve administrar todo o ciclo de vida das identidades: entrada do colaborador, mudanças de cargo, solicitações adicionais, afastamentos, acessos temporários e desligamento.

O que é gestão de identidade e acesso?

A gestão de identidade e acesso, também conhecida como IAM (Identity and Access Management), reúne políticas, processos e tecnologias usados para controlar identidades digitais e permissões.

Um sistema de IAM pode centralizar tarefas como:

• Criação e desativação de contas.
• Autenticação dos usuários.
• Concessão e remoção de permissões.
• Aplicação de autenticação multifator.
• Integração com sistemas corporativos.
• Registro de solicitações e aprovações.
• Revisão periódica dos acessos.
• Geração de evidências para auditorias.

O objetivo não é apenas impedir acessos indevidos, mas garantir que cada pessoa tenha os recursos necessários para trabalhar sem acumular privilégios desnecessários.

Ciclo de vida do acesso

A gestão pode ser organizada em três momentos: entrada, movimentação e desligamento. Esse processo também é conhecido como Joiner, Mover e Leaver.

Entrada de funcionários

O processo começa antes do primeiro acesso. Recursos Humanos, gestor responsável e equipe de tecnologia devem compartilhar informações confiáveis sobre cargo, departamento, data de início e sistemas necessários.

Entre as boas práticas para a entrada estão:

• Criar uma conta individual e identificável para cada colaborador.
• Proibir o compartilhamento de credenciais.
• Conceder somente os acessos previstos para a função.
• Configurar autenticação multifator desde o primeiro acesso.
• Solicitar a troca de senhas temporárias.
• Definir uma data de expiração para contratos temporários.
• Registrar quem solicitou e quem aprovou cada permissão.
• Entregar equipamentos já configurados e protegidos.
• Apresentar as políticas de segurança e uso aceitável.

Mudança de cargo ou departamento

A movimentação interna é uma etapa frequentemente esquecida. Quando um colaborador muda de função, a empresa não deve apenas adicionar novos acessos. Também é necessário retirar as permissões que deixaram de ser necessárias.

O processo deve comparar os acessos anteriores com os exigidos pelo novo cargo, evitando o acúmulo progressivo de privilégios.

Mudanças de gestor, departamento, unidade, projeto ou tipo de contrato também devem acionar uma revisão de acesso.

Afastamentos e ausências prolongadas

Afastamentos podem exigir suspensão temporária de determinados acessos. A decisão deve seguir políticas internas e considerar a natureza da função, a duração da ausência e os riscos envolvidos.

A suspensão precisa ser reversível, registrada e aprovada pelos responsáveis definidos pela organização.

Desligamento de funcionários

O desligamento exige coordenação entre Recursos Humanos, gestor, tecnologia, segurança e, quando necessário, área jurídica.

A desativação deve ocorrer no horário definido para o encerramento do vínculo. Em desligamentos de maior risco, a revogação pode precisar ser imediata e coordenada com a comunicação ao colaborador.

O processo deve incluir:

• Bloqueio da conta corporativa.
• Encerramento das sessões que ainda estiverem ativas.
• Revogação de tokens, certificados e chaves de acesso.
• Remoção de acessos a e-mail, VPN, aplicações e serviços em nuvem.
• Remoção de grupos, listas, delegações e regras de encaminhamento.
• Revogação de acessos privilegiados e administrativos.
• Desativação de crachás e acessos físicos.
• Remoção de perfis corporativos de dispositivos pessoais autorizados.
• Devolução de notebooks, celulares, cartões e outros ativos.
• Transferência controlada da responsabilidade por arquivos e processos.
• Registro das ações executadas e dos responsáveis.

A conta pode ser inicialmente desativada em vez de apagada. Entretanto, dados pessoais, registros e logs não devem ser mantidos indefinidamente. A retenção deve seguir uma finalidade legítima, requisitos legais e a política interna da organização.

Criação e gerenciamento de contas

A criação de contas deve partir de uma fonte confiável, como o sistema de Recursos Humanos ou uma solicitação formal aprovada.

A conta deve possuir um identificador único e estar vinculada a uma pessoa, serviço ou equipamento claramente definido. Informações cadastrais devem ser limitadas ao necessário para a administração da identidade.

Contas genéricas, como “financeiro”, “administrador” ou “suporte”, dificultam a responsabilização. Quando uma conta compartilhada for tecnicamente inevitável, seu uso deve ser excepcional, controlado, registrado e protegido por um mecanismo seguro de gerenciamento de credenciais.

Contas temporárias

Contas destinadas a fornecedores, consultores, estagiários ou projetos temporários devem possuir data de expiração automática.

A expiração reduz o risco de uma conta permanecer ativa após o encerramento da necessidade. Caso seja preciso renovar o acesso, uma nova aprovação deve ser registrada.

Contas inativas

A empresa deve identificar contas que não são utilizadas há determinado período. A inatividade pode indicar desligamentos não comunicados, sistemas abandonados ou permissões que deixaram de ser necessárias.

Antes do bloqueio, é necessário avaliar exceções justificadas, como contas de emergência ou serviços executados com pouca frequência.

Princípios do controle de acesso

Princípio do menor privilégio

O usuário deve receber somente os recursos e permissões necessários para executar suas tarefas. Acesso adicional deve ser concedido apenas quando houver uma justificativa válida.

Esse princípio limita os danos que podem ser causados por erro humano, credenciais comprometidas ou uso indevido.

Necessidade de conhecimento

Mesmo que um colaborador tenha acesso a determinado sistema, ele não precisa necessariamente visualizar todas as informações disponíveis. Dados sensíveis devem ser restritos às pessoas que realmente precisam conhecê-los.

Negação por padrão

O acesso deve ser negado por padrão e liberado somente após uma regra ou autorização explícita. Permissões abertas para todos os funcionários devem ser utilizadas apenas quando forem realmente necessárias.

Controle baseado em funções

O RBAC (Role-Based Access Control) associa permissões a funções, como analista financeiro, vendedor ou gestor. Quando o colaborador assume uma função, recebe um conjunto previamente aprovado de acessos.

Essa abordagem facilita a padronização, mas as funções devem ser revisadas para não se tornarem amplas demais.

Controle baseado em atributos

O ABAC (Attribute-Based Access Control) considera fatores como departamento, localização, dispositivo, horário, classificação do dado e nível de risco.

Ele permite regras mais dinâmicas, como autorizar determinado sistema somente em dispositivos corporativos e durante o horário de trabalho.

Segregação de funções

Atividades críticas não devem ficar sob o controle exclusivo de uma única pessoa. Quem solicita uma operação financeira, por exemplo, não deveria ser a única pessoa autorizada a aprová-la e executá-la.

A segregação reduz o risco de fraude, erro e abuso de privilégios.

Autenticação multifator

A autenticação multifator exige mais de uma forma de comprovação da identidade. Mesmo que uma senha seja descoberta, o invasor ainda precisará superar um fator adicional.

Entre os métodos disponíveis estão:

• Chaves físicas de segurança.
• Passkeys.
• Aplicativos autenticadores.
• Certificados digitais.
• Biometria protegida pelo dispositivo.
• Códigos de uso único.

Sempre que possível, a empresa deve priorizar métodos resistentes a phishing, como FIDO2, WebAuthn, passkeys e chaves físicas de segurança.

Códigos enviados por SMS podem ser utilizados como alternativa quando métodos mais seguros não estiverem disponíveis, mas não devem ser a primeira opção para contas privilegiadas ou sistemas críticos.

Login único

O SSO (Single Sign-On) permite que o usuário acesse diferentes aplicações usando uma identidade corporativa central.

Essa centralização facilita o bloqueio de contas e reduz a quantidade de senhas. Porém, como a conta principal passa a concentrar muitos acessos, ela deve ser protegida com MFA, monitoramento e políticas de autenticação proporcionais ao risco.

Solicitações e aprovações de acesso

Toda solicitação de acesso adicional deve seguir um fluxo formal. Pedidos realizados somente por conversas informais dificultam auditorias e podem resultar em permissões concedidas sem justificativa.

Uma solicitação deve informar:

• Usuário que receberá o acesso.
• Sistema ou recurso solicitado.
• Nível de permissão necessário.
• Justificativa relacionada à atividade profissional.
• Prazo de validade, quando o acesso for temporário.
• Gestor responsável pela aprovação.
• Responsável pelo sistema ou pelas informações.
• Riscos e requisitos adicionais de segurança.

Aprovações devem considerar o impacto do acesso, e não apenas a posição hierárquica de quem solicitou.

Acesso emergencial

Contas de emergência, também conhecidas como break glass, podem ser necessárias para recuperar sistemas em situações críticas.

Essas contas devem permanecer protegidas, ter uso restrito e gerar alertas imediatos. Toda utilização precisa ser revisada posteriormente, com registro da justificativa e das ações realizadas.

Gestão de acessos privilegiados

Contas administrativas podem instalar programas, alterar configurações, criar usuários, consultar dados sensíveis e modificar controles de segurança. Por isso, exigem proteção adicional.

As boas práticas incluem:

• Separar a conta de uso cotidiano da conta administrativa.
• Exigir MFA resistente a phishing.
• Conceder privilégios somente durante o período necessário.
• Registrar comandos e sessões administrativas quando apropriado.
• Guardar credenciais em um cofre seguro.
• Aplicar rotação de senhas, segredos e chaves.
• Monitorar alterações em grupos privilegiados.
• Revisar os acessos com maior frequência.

Soluções de PAM (Privileged Access Management) podem ajudar a controlar, registrar e limitar o uso dessas contas.

Contas de serviço e integrações

Contas de serviço são utilizadas por aplicações, automações e integrações. Elas não devem ser tratadas como contas comuns de funcionários.

Cada conta de serviço deve possuir:

• Um responsável técnico e um responsável de negócio.
• Finalidade documentada.
• Permissões mínimas.
• Credenciais armazenadas de forma segura.
• Processo de rotação de chaves e segredos.
• Monitoramento de utilização.
• Plano de substituição ou desativação.

Segredos não devem permanecer expostos no código-fonte, em planilhas, mensagens ou arquivos de configuração sem proteção.

Acesso de fornecedores e terceiros

Fornecedores devem receber acessos separados, identificáveis, temporários e limitados ao serviço contratado.

O contrato deve definir responsabilidades, requisitos de segurança, tratamento de dados, comunicação de incidentes e devolução ou eliminação das informações após o encerramento da relação.

O acesso remoto de terceiros deve ser monitorado e, quando possível, permitido apenas em horários, dispositivos e redes previamente autorizados.

Revisões periódicas de acesso

Mesmo quando as permissões são concedidas corretamente, elas podem deixar de ser necessárias com o tempo. Por isso, a empresa deve realizar revisões periódicas.

O processo de recertificação deve verificar:

• Se o usuário ainda trabalha na organização.
• Se o cargo e o departamento continuam os mesmos.
• Se as permissões ainda são necessárias.
• Se existem contas duplicadas ou inativas.
• Se acessos temporários já deveriam ter expirado.
• Se há conflitos de segregação de funções.
• Se contas privilegiadas possuem justificativa válida.
• Se os responsáveis por contas de serviço ainda estão corretos.

A frequência deve ser definida conforme o risco. Contas administrativas e sistemas que armazenam dados sensíveis normalmente exigem revisões mais frequentes.

Monitoramento e logs de acesso

O monitoramento ajuda a identificar comportamentos suspeitos e oferece evidências para auditorias e investigações.

É recomendável registrar:

• Tentativas de autenticação bem-sucedidas e malsucedidas.
• Ativações, bloqueios e desativações de contas.
• Alterações de permissões.
• Solicitações e aprovações de acesso.
• Uso de contas privilegiadas.
• Criação e utilização de credenciais de serviço.
• Acesso a dados sensíveis.
• Exportações ou downloads em grande volume.
• Alterações em políticas de segurança.

Os logs devem ter acesso restrito, proteção contra alterações e horários sincronizados. Alertas podem ser configurados para comportamentos como tentativas repetidas, acesso em horários incomuns, mudança inesperada de localização ou inclusão em grupos administrativos.

Gestão de acesso e LGPD

Informações sobre funcionários, fornecedores, clientes e usuários podem constituir dados pessoais. A empresa deve aplicar medidas técnicas e administrativas para impedir acesso não autorizado, perda, alteração ou tratamento inadequado.

A gestão de acesso contribui para princípios da LGPD como segurança, prevenção, necessidade e responsabilização.

Para manter a conformidade:

• Colete somente as informações necessárias para administrar as identidades.
• Defina quem pode consultar dados pessoais.
• Registre acessos a informações sensíveis quando apropriado.
• Estabeleça prazos de retenção para contas, logs e históricos.
• Elimine ou anonimize dados quando a retenção deixar de ser necessária.
• Proteja relatórios de auditoria contra acesso indevido.
• Documente as medidas de segurança adotadas.

A política de retenção deve ser validada com as áreas responsáveis por segurança, privacidade, Recursos Humanos e assuntos jurídicos, considerando as obrigações aplicáveis à organização.

Resposta a incidentes de acesso

Ao identificar uma conta comprometida, a empresa deve executar um procedimento previamente definido.

As primeiras medidas podem incluir:

• Bloquear temporariamente a conta.
• Encerrar sessões ativas.
• Revogar tokens, chaves e certificados.
• Redefinir as credenciais.
• Verificar alterações de permissões.
• Analisar os registros de autenticação e atividade.
• Identificar os sistemas e dados acessados.
• Preservar evidências.
• Avaliar a necessidade de comunicar o incidente.
• Corrigir a causa e revisar os controles relacionados.

O bloqueio da conta não encerra a investigação. É necessário descobrir como o acesso ocorreu e verificar se outras identidades foram afetadas.

Checklist para implementar uma gestão de acesso eficiente

• Centralizar a gestão de identidades sempre que possível.
• Integrar os processos de Recursos Humanos e tecnologia.
• Eliminar contas compartilhadas sem controle.
• Adotar o princípio do menor privilégio.
• Configurar MFA, priorizando métodos resistentes a phishing.
• Definir funções e perfis de acesso.
• Formalizar solicitações e aprovações.
• Criar datas de expiração para acessos temporários.
• Proteger contas privilegiadas com controles adicionais.
• Documentar contas de serviço e integrações.
• Executar revisões periódicas.
• Automatizar o desligamento quando for seguro e possível.
• Centralizar e proteger logs de acesso.
• Definir políticas de retenção e descarte.
• Testar regularmente o processo de resposta a incidentes.

Conclusão

A segurança corporativa depende de um controle consistente sobre identidades, credenciais e permissões. Não basta criar contas durante a contratação e bloqueá-las no desligamento. Todo o ciclo de vida precisa ser monitorado.

Ao combinar IAM, menor privilégio, MFA, revisões periódicas, gestão de acessos privilegiados e monitoramento, a organização reduz riscos e melhora sua capacidade de demonstrar conformidade.

Uma gestão de acesso eficiente também facilita o trabalho dos colaboradores, pois disponibiliza os recursos necessários de maneira controlada, rastreável e adequada às responsabilidades de cada função.

Perguntas frequentes sobre gestão de acesso